Sécurisation des échanges electroniques Mondial Relay

-- HikaShop version -- : 4.7.5
-- Joomla version -- : 4.3.4
-- PHP version -- : 8.1
-- Browser(s) name and version -- : Safari

Hi

J'ai la version 1.1.8 du plugin Mondial Relay
Depuis peu depuis lorsque j'utilise le plugin je reçois cet email



Cher(e) Client(e),

Soucieux de sécuriser au mieux les échanges de données et de respecter la règlementation en vigueur (RGPD), Mondial Relay s'est engagé dans l'évolution de ses méthodes de connexion en lien avec la création des étiquettes, la recherche de Points Relais® et Lockers, et le suivi de colis depuis nos webservices.

Nous avons constaté que votre système d'intégration utilisait des protocoles de connexion dépréciés et vulnérables. La CNIL considère ceux-ci comme inférieurs à l'état de l'art, et nous met en demeure de stopper leur usage sans délai.

Dans ce contexte, nous vous informons qu'à compter du 1er février 2024, Mondial Relay n'acceptera plus aucune connexion ne respectant pas les recommandations de la CNIL en matière de sécurité.

Afin d'éviter toute interruption de votre accès à nos services, nous vous invitons dès à présent à vous relier à nos webservices
via le lien suivant : api.mondialrelay.com et à déployer dans les meilleurs délais toutes les mesures nécessaires à la mise en conformité de votre système d'intégration.

Nous vous invitons à privilégier le protocole TLS 1.3 lors de vos connexions ; celui-ci offrant une sécurité optimisée.
Nous vous informons que nous engagerons par ailleurs courant 2024 une migration qui n'acceptera que le protocole TLS 1.3.

Si vous utilisez un module d'une plateforme e-commerce, nous vous invitons à prendre contact avec celle-ci afin de faire procéder aux modifications nécessaires.


Est ce que le plugin Mondial Relay est conforme ?
Merci pour votre réponse

Sophie

Bonjour,

Le plugin utilise depuis sa première version le point d'entrée que vous pouvez voir dans le fichier "mondialrelay_class.php".
Par contre, le plugin se base sur SoapClient de PHP, qui peut avoir des paramètres permettant de forcer le protocole SSL à utiliser.
Logiquement votre système doit utiliser le meilleur protocole durant l'établissement de la communication ; je ne pourrais donc vous dire pourquoi Mondial Relay considère que vous vous connectez à leur API via un "protocole déprécié".
www.php.net/manual/en/soapclient.constru...t.options.ssl-method
(A noter que puisque vous avez PHP 8.1, le paramètre "ssl_method" n'est pas à utiliser mais la section fournis du code example pour utiliser le "context")

Cordialement,

Merci pour votre réponse

Dans mondialrelay_class.php je ne vois ni ssl_method ni $context
Peut être que de spécifier $context cela résoudrait le problème ?

Je ne suis pas programmeuse pourriez vous m'aider à intégrer $context à votre plugin car cela pourrait être le problème...

Merci
Sophie

Bonjour,

Je vous recommanderais plutôt de vérifier la version de TLS sur votre serveur et de mettre à jour openSSL sur le serveur pour pouvoir utiliser TLS 1.3:
tecadmin.net/test-tls-version-php/
wiki.openssl.org/index.php/TLS1.3
Pour mettre à jour openSSL sur votre serveur, il va falloir voir avec votre hébergeur.

Bonjour Nicolas

Merci pour vos conseils que j'ai bien évidemment suivis

J'ai mis à jour mon certificat SSL sur mon hébergement (je pense que c'est ce dont vous parliez openSSL ?) et j'ai effectué le script php qui me donne le résultat TLS 1.3 donc on verra bien ....

Merci encore pour votre réponse
bien cordialement
Sophie

Bonjour

Mondial Relay vient de me contacter pour m'avertir qu'il y a encore des problèmes malgré mes mises à jour ...
Voici leur email

Bonjour,

Nous avons identifiés encore quelques appels dépréciés sur les dernière 24h, nous allons refaire le point sur les logs en début de semaine prochaine.

Nicolas WOUSSEN
Responsable Domaine Intégration Clients

E-mail : nwoussen@mondialrelay.fr
Adresse : Parc d'activités la Haute Borne / 1 avenue de l’horizon | 59650 Villeneuve d’Ascq | France

Je vous tiens au courant
Bon weekend
Sophie