С каких IP адресов приходят оповещения о платеже (Яндекс Деньги)?

Question

[Snorway]

Где можно найти список IP адресов, с которых приходит запрос Яндекс Денег для оповещения о поступившем платеже? Гуглил, нашел темы вроде clubs.ya.ru/moneyapi/replies.xml?item_no=2741, но там указаны старые данные (сейчас IP другие, проверял). Могу, конечно, составить свой список айпишек по логам, но хотелось бы официально заявленные адреса, во избежание.

Comments

[Руслан Садыхов]

Зачем вообще так делать? Там же хэш возвращается, его и проверяйте.

[Snorway]

Руслан Садыхов: это ненадежно. Сталкивался с ситуациями, когда злоумышленнику удавалось создать хэш с фейковыми данными об оплате.

[Руслан Садыхов]

Snorway: если злоумышленник знает секретный ключ Вашего приложения, то естественно, не составит труда.

[Snorway]

Руслан Садыхов: это очевидно. А секретный ключ можно получить не только взломав подключаемый сайт, но и используя уязвимости платежного сервиса, что порождает лишние риски, которые можно немного уменьшить с помощью фильтрации по IP.

[Руслан Садыхов]

Snorway: интересно, с помощью какой уязвимости можно получить секретный ключ уведомлений Яндекс.Денег?

[Snorway]

Руслан Садыхов: вы ведете к тому, что разработчики Яндекс.Денег боги и не допускают ошибок? Если вы до сих пор не начали перестраховываться, то это либо недостаток опыта, либо наивность. В Яндексе не инопланетяне сидят, и так же допускают ошибки как и все остальные.

[Руслан Садыхов]

Snorway: я с ними работаю 3 года и ниразу меня не хекнули.

Answer 1

[Алексей Скобкин]

Обратитесь в саппорт ЯД. Они отвечают довольно оперативно.