Estoy tratando de implementar en un sitio web la plataforma de pago Redsys en su modalidad 'InSite': https://pagosonline.redsys.es/conexion-insite.html
En un primer paso, según la documentación, hay que crear un iframe que contiene el formulario de pago generardo por Redsys. Este se encargará de pasar a unos inputs 'token' y 'errorCode', que también hemos de crear, la respuesta del formulario. En caso de procesarse la operación correctamente, el campo 'token' será rellenado con un código alfanumérico. Con este id de token ya podremos ir al backend y lanzar el pago desde allí contra el servidor de redsys. El código de este proceso en el frontend es el siguiente (siguiendo los ejemplos que aporta la documentación oficial):
<!DOCTYPE html>
<html>
<head>
<title>Test redsys insite</title>
<script src="https://sis-t.redsys.es:25443/sis/NC/sandbox/redsysV2.js"></script>
</head>
<body>
<div id="card-form" style="height: 400px"></div>
<input type="hidden" id="token" ></input>
<input type="hidden" id="errorCode" ></input>
<script>
function merchantValidationEjemplo(){
//Insertar validaciones…
return true;
}
<!-- Listener -->
window.addEventListener("message", function receiveMessage(event) {
storeIdOper(event,"token", "errorCode", merchantValidationEjemplo);
});
<!-- Petición de carga de iframe -->
var estiloBoton = ''
var estiloBody = ''
var estiloCaja = ''
var estiloInputs = ''
getInSiteForm('card-form', estiloBoton, estiloBody, estiloCaja, estiloInputs, 'Aceptar',
'999008881', '1', 'F8OYDISB16DA','1');
</script>
</body>
</html>
Como se puede ver, la función getInsiteForm es la encargada de cargar el iframe mediante una petición a Redsys que devuelve el contenido de éste. La carga se hace sobre el elemento html 'card-form' en este caso.
La cuestión es que cuando esta página se ejecuta en localhost, funciona. Si lo hacemos desde cualquier otro dominio, no carga el iframe de Redsys. Y la explicación está en los encabezados de la respuesta a la solicitud del formulario incrustado de Redsys, donde la directiva 'Content-Security-Policy: frame-ancestors ...' está liitando el uso del iframe a una serie de dominios concretos (entre los que está localhost):
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors
¿Qué sentido tiene que la respuesta de Redsys venga con este encabezado que nos limita su uso en cualquier dominio, siendo que precisamente el objetivo es poder incrustarlo en nuestra página de pago? ¿Alguien que haya pasado por esto podría ayudarme?
Gracias de antemano.