La valeur de la donnée Seal est calculée comme suit :

• concaténation des valeurs des champs de données dans l’ordre alphabétique (respectant le code de caractères ASCII) des noms des champs, sauf pour les champs keyVersion et sealAlgorithm. Donnant la donnée data, mentionnée dans les exemples ci-dessous.
  • exemple : un champ nommé authorResponseMessage est à positionner avant un champ nommé authorisationId ;
• obtention de l’encodage UTF-8 des données du résultat précédent ;
• HMAC avec chiffrement SHA256 des octets obtenus avec la clé secrète.

Cette procédure peut être résumée comme suit :

HMAC-SHA256( UTF-8(sortedDataValues), UTF-8(secretKey))

• Exemple d’encodage Hmac Sha256 en Php 5

  <?php
  
  …
  
  // Seal computation thanks to hash sorted data hash with merchant key
  
  $data_to_send= utf8_encode($data)
  
  $seal=hash_hmac('sha256', $data_to_send, $secretKey);
  
  …
  …
  
  ?> 

  data_to_send et secretKey doivent utiliser un jeu de caractères UTF-8. Référez-vous à la fonction utf8_encode pour la conversion de caractères ISO-8859-1 en UTF-8.

• Exemple d’encodage Hmac Sha256 en Java

  import java.security.InvalidKeyException;
  import java.security.NoSuchAlgorithmException;
  
  import javax.crypto.Mac;
  import javax.crypto.spec.SecretKeySpec;
  
  public class ExampleHMACSHA256 {
  
  /**
   * table to convert a nibble to a hex char.
   */
  static final char[] hexChar = {
     '0' , '1' , '2' , '3' ,
     '4' , '5' , '6' , '7' ,
     '8' , '9' , 'a' , 'b' ,
     'c' , 'd' , 'e' , 'f'};
  
  /**
   * Fast convert a byte array to a hex string
   * with possible leading zero.
   * @param b array of bytes to convert to string
   * @return hex representation, two chars per byte.
   */
  public static String encodeHexString ( byte[] b )
     {
     StringBuffer sb = new StringBuffer( b.length * 2 );
     for ( int i=0; i<b.length; i++ )
        {
        // look up high nibble char
        sb.append( hexChar [( b[i] & 0xf0 ) >>> 4] );
  
        // look up low nibble char
        sb.append( hexChar [b[i] & 0x0f] );
        }
     return sb.toString();
     }
  
  /**
   * Computes the seal
   * @param Data the parameters to cipher
   * @param secretKey the secret key to append to the parameters 
   * @return hex representation of the seal, two chars per byte.
   */
  public static String computeSeal(String data, String secretKey) throws Exception
  {
    Mac hmacSHA256 = Mac.getInstance("HmacSHA256");
    SecretKeySpec keySpec = new SecretKeySpec(secretKey.getBytes(), "HmacSHA256");
    hmacSHA256.init(keySpec);
  
    return encodeHexString(hmacSHA256.doFinal(data.getBytes()));
  }
  
  /**
   * @param args
   */
  public static void main(String[] args) {
  try {
  System.out.println (computeSeal("parameters", "key"));
  } catch (Exception e) {
  e.printStackTrace();
  }
  }
  
  }

• Exemple d’encodage Hmac Sha256 en .net

  (Exemple effectué à l’aide d’un simple formulaire nommé « Form1 » contenant deux champs texte pour saisir data et txtSecretKey, ainsi qu’un autre champ pour afficher lblHEX).

  using System;
  using System.Collections.Generic;
  using System.ComponentModel;
  using System.Data;
  using System.Drawing;
  using System.Text;
  using System.Windows.Forms;
  using System.Security.Cryptography;
  
  namespace ExampleDotNET
  {
      public partial class Form1 : Form
      {
          public Form1()
          {
              InitializeComponent();
          }
  
          private void cmdGO_Click(object sender, EventArgs e)
          {
              String sChaine = data.Text;
              UTF8Encoding utf8 = new UTF8Encoding();
              Byte[] encodedBytes = utf8.GetBytes(sChaine);
          
              byte[] shaResult;
              
              HMAC hmac = new HMAC.Create("HMACSHA256");
              var key = "YourSecretKey";
              hmac.Key = utf8.GetBytes(key); 
              hmac.Initialize();
  
              shaResult = hmac.ComputeHash(encodedBytes);
  
              lblHEX.Text = ByteArrayToHEX(shaResult);
          }
  
          private string ByteArrayToHEX(byte[] ba)
          {
              StringBuilder hex = new StringBuilder(ba.Length * 2);
              foreach (byte b in ba)
                  hex.AppendFormat("{0:x2}", b);
              return hex.ToString();
          }
  
      }
  }

Une fois votre calcul de seal mis en place, voici un exemple de requête vous permettant de vérifier que vous retrouvez bien le bon seal :

<cardOrder>
    <input>
        <amount>2500</amount>
        <captureDay>0</captureDay>
        <captureMode>AUTHOR_CAPTURE</captureMode>
        <cardCSCValue>000</cardCSCValue>
        <cardExpiryDate>201612</cardExpiryDate>
        <cardNumber>1234123412341234</cardNumber>
        <currencyCode>978</currencyCode>
        <customerContact>
            <email>customer@email.com</email>
        </customerContact>
        <interfaceVersion>IR_WS_2.3</interfaceVersion>
        <keyVersion>1</keyVersion>
        <merchantId>011223344550000</merchantId>
        <orderChannel>INTERNET</orderChannel>
        <orderId>ORD101</orderId>
        <returnContext>ReturnContext</returnContext>
        <transactionOrigin>SO_WEBAPPLI</transactionOrigin>
        <transactionReference>TREFEXA2012</transactionReference>
        <seal>f1772faa4b73c0fc5a9810ad7fcaf91458d6174b2178a0a0a2bea2d860b404f5</seal>
    </input>
</cardOrder>

Pour la requête ci-dessus, la chaîne concaténée que vous devez calculer est la suivante :

25000AUTHOR_CAPTURE0002016121234123412341234978customer@email.comIR_WS_2.3
011223344550000INTERNETORD101ReturnContextSO_WEBAPPLITREFEXA2012

Avec un algorithme de hachage HMAC-SHA-256 et une clé secrète valant :

secret123

Le seal attendu est :

f1772faa4b73c0fc5a9810ad7fcaf91458d6174b2178a0a0a2bea2d860b404f5

Votre site Web doit ordonner au navigateur du porteur de carte d'envoyer le formulaire comportant le message PaReq à l'URL ACS reçue dans le champ redirectionUrl du service cardCheckEnrollment ou walletCheckEnrollment. Cette action doit être initiée via le navigateur du porteur de carte.

Conformément aux directives de mise en œuvre de 3-D Secure édictées par VISA et Mastercard, cette action doit être réalisée en réduisant au minimum les interventions du porteur de carte.

Une fois l'initialisation traitée, votre site Web doit rediriger le navigateur du client à l’aide d’un formulaire POST.