Discussion :

[plancton]

Bonjour,

Si vous utilisez l'API de paiement sécurisé Atos Sogenactif, vous devez probablement rencontrer le même problème que moi. Le cadenas n'apparaît plus sur Chrome dès lors que l'URL de votre site vers laquelle l'internaute est redirigée en cas d'annulation de paiement n'est pas en https.
D'après mes recherches, cela est dû au fait que le bouton « Annuler » se présente sous la forme d’un formulaire POST dont l’action est redirigée vers la page paramétrée par le client. Dans ce cas, Google Chrome indique « cette page inclut d’autres ressources qui ne sont pas sécurisées… ».
En revanche les boutiques qui utilisent une solution concurrente (Paybox par exemple) n’ont pas ce problème même si leur page d’annulation n’est pas en https car le bouton annuler est un simple lien HTML.

Dans un premier temps, j'avais attribué ce problème au fait que Sogenactif utilise encore un chiffrage SHA-1 et, comme vous le savez, Chrome a décidé d'abandonner progressivement le support du chiffrage SHA-1 mais en réalité ce n'est pas le cas car Google ne pénalise que les certificats émis depuis peu. Ce qui n'est pas le cas de Sogenactif.

De plus en plus de clients nous appellent pour nous signaler ce problème et je n'imagine pas le nombre de clients qui abandonnent tout simplement !! J'ai fait au hasard quelques essais sur des e-commerçants qui utilisent Sogenactif et ils ont tous le même problème. Si vous êtes dans ce cas, merci de vous manifester.
J'ai contacté Sogenactif et je suis en attente de leur réponse.
Si vous avez des éléments de réponse concernant ce problème, n'hésitez pas...

[plancton]

J'ai eu une réponse de Sogenactif à ce sujet :
concernant la redirection en http vers la page d'annulation, ils vont mettre en place au plus tard fin mars une page de redirection provisoire en https, ce qui devrait permettre de retrouver le cadenas.

Concernant la méthode de chiffrement considérée par Google comme obsolète, ce point devrait disparaître en fin d’année 2016, avec le remplacement de leurs firewall applicatifs.
Selon eux, ce point n’est pas bloquant et n’est pas soumis à la date de Juin 2016 (il ne remonte pas non plus dans les scans PCI-DSS).

D'autre part, ils travaillent sur une nouvelle API dont la phase pilote devrait en démarrer en juin ou septembre.

A suivre donc.

si on lit l'article ci-dessous, (et les commentaires), on réalise que la question est plus complexe et que Google Chrome n'est pas forcément pertinent sur la détection de la sécurité...