解決済みにするのを忘れていましたので、もう１回コメントします。

TLS 1.2とHTTP1.1への対応は2016年6月17日までがリミットですが、
IPNポストバックのSSL必須化は2016年9月30日まで猶予があります。
https://www.paypal-knowledge.com/infocenter/index?page=content&id=FAQ1913&expand=true&locale=ja_JP

多少セキュリティを犠牲にすれば、9月までは延命できるということですかね。
でも、認証情報を暗号化しないという延命策は好ましくないですよね。

いずれにしろ取るべき方向性が見えました。
ありがとうございました。