Поговорим об онлайн-кассах?

Модуль касса и все, что нужно устанавливать у себя - не вариант вообще... Это как же это все 100% времени должно будет работать... Это же невозможно вообще никак... У меня нет наемных работников, например... И мне иногда хочется уезжать в отпуск... И как - оставлять это все включенным... И если что зависает, отрубается, то все - за каждый непробитый чек 10 тыс. руб... Круто... У меня средний чек на порядок ниже... и за неделю моего отсутствия я могу попасть на штраф стоимостью больше половины всего моего имущества :)))

Лучше уж вообще незаконная предпринимательская деятельность...

Так яндекс.касса проверяет доступность онлайн кассы - и только если доступна - проводит платеж.

Поэтому платежи просто не пройдут и все.

А онлайн доступность это да - надо видимо юнит арендовать в дата центре и туда ставить онлайн кассу. Все таки и резерв интернета, и резерв по питанию, и соседи не затопят итд.

Все данные, необходимые для платежа (подчеркиваю: все, включая все идентификаторы, все ссылки, вся информация о пользователе, сумма покупки, а теперь еще и список товаров), передаются в Яндекс.Кассу в открытом виде через hidden-поля POST-формы. Возможно, есть какие-то более хитрые способы подключения, но в обычном подключении это так (см. раздел "Платежная форма" в тех.документации Яндекс.Кассы). Единственный скрытый от глаз параметр - это действительно shopPassword, но он нужен только для расчета и сверки хэша, в который, во-первых, список товаров не входит (и включить его туда затруднительно ввиду того, что придется жестко договариваться о формате строки), а во-вторых, даже его проверка на стороне магазина является, хоть и настоятельно рекомендуемой, но де-юре опциональной.

Возможно, Яндекс.Касса при запросе проверки заказа вернет магазину список товаров для чека. Говорю "возможно", так как по состоянию на текущий момент описание протокола об этом умалчивает. Так вот, во-первых, уверен, что не все магазины догадаются этот список проверить и сопоставить с реальным, а во-вторых, в протоколе Яндекс.Кассы есть еще такой вариант, как форма с уведомлениями по e-mail, там вообще никаких дополнительных проверок после POST'а формы с данными не подразумевается, а поддержка онлайн-касс таки, наоборот, подразумевается.

Если что, я подключал Яндекс.Кассу, реализовывая протокол самостоятельно полностью с нуля. И более-менее точно представляя, как этот протокол работает, я вижу, что защитить список товаров от подмены сейчас сложно, а при формате работы "форма для email-уведомлений" вообще невозможно. Буду очень рад ошибиться, но пока я не вижу, где у меня может быть ошибка.

Кстати, интересно, а как теперь обменники эл. платежных систем будут фунциклировать? :)

SSL ты тоже подменяешь?

Врать не буду, не разбирался, и даже открывать сайт смотреть как там что устроено лень.

Но искренне полагал, что никаких Яндексовых форм на сайте нет, и ничего с них в Я Кассу не отправляется.

на сайте (движок x-cart) для всех способов оплаты есть x-cart'овская форма подтверждения заказа. И далее в зависимости от того, что за метод оплаты выбран - отрабатывает тот или иной модуль движка, который и связывается с Я Кассой и передает ей все необходимое. да, по HTTPS (без него магазин не подключат к кассе).

как это сэмулировать с браузера, при этом выковыряв с сервера магазина (в браузер клиента оно не передается, зачем оно там, если он ничего не отправляет в Я Кассу, я писал выше) shopPassword, я хз. Может и можно, но мне не интересно. Как говорится, хакерам и клавиатуру в руки :)

Я не понимаю, при чем тут SSL. Все данные, связанные с заказом, пересылаются от магазина в Яндекс.Кассу не напрямую от сервера магазина к серверу Я.Кассы, а опосредованно через браузер пользователя. На этапе между получением формы от магазина и отправкой ее дальше (как правило, по явному нажатию кнопки типа "Оплатить") подвинутый пользователь (ОК, очень продвинутый пользователь, обладающий определенными навыками) может поменять любое значение любого поля любой формы. Не вижу вообще ничего, что может этому помешать.

Думаю, надо спросить про данную проблему (или не проблему, если я вдруг ошибаюсь) в тех.поддержку Я.Кассы. Займусь и доложу. Правда, если они ответят, то это наверняка произойдет не сильно скоро :)

Вот это Вы точно зря. В техподдержке Я Кассы (которая для клиентов - юр лиц) на телефонах сидят адекватные профессионалы, которые ответят на все Ваши вопросы. Проверено неоднократно.

Просто позвоните им днем в рабочее время.

Собственно проблема поднята правильная. Чеки должна печатать ваша ЦМС или товароучётка исходя их списка проданных товаров, а не платёжная система, исходя из того, что ей передали. Это потенциальная дыра, если будут штрафовать за неправильные товары (а всё к этому идёт), то будут подставщики, как сейчас есть по скликиванию директа.

Так что dag, пинайте своих x-cart на тему интеграции вашей любимой модулькассой напрямую, а не через посредника типа яндекса и будет вам счастье.

Прошу прощения, за этим ником не угадал Вас, господин Мишустин...

Да, Вы так и не ответили, у Вас лично - что за бизнес? ну чего Вам то эта тема так животрепещуща?