Платежный API для сайта, СБП и QR

Что делает платежный API

Платежный API связывает заказ в системе мерчанта с платежным сценарием. Сервер создает платеж, сохраняет выданный идентификатор и направляет покупателя на платежную страницу либо показывает ссылку или QR. Результат возвращается не только в браузер, но и по серверному каналу.

Интеграция может использоваться для СБП/C2B, динамического QR НСПК, платежных ссылок и других согласованных способов оплаты. Карточный сценарий доступен только при наличии подходящей банковской инфраструктуры и отдельном одобрении.

• создание платежа с суммой, валютой и назначением;
• получение платежной ссылки или данных для QR;
• проверка текущего статуса;
• уведомления через webhook или callback;
• доступ к реестрам для операционной сверки.

Правильный жизненный цикл платежа

Заказ и платеж — разные сущности. Один заказ может иметь неуспешную попытку и новый платеж, поэтому мерчанту важно хранить оба идентификатора и разрешенные переходы статусов. Товар или услугу следует выдавать только после подтвержденного финального статуса на сервере.

Клиент может закрыть вкладку, вернуться на сайт раньше уведомления или повторно открыть ссылку. Поэтому страница успешной оплаты удобна для пользователя, но не должна быть единственным доказательством поступления денег.

• создать заказ во внутренней системе;
• создать связанный платеж;
• показать покупателю согласованный способ оплаты;
• получить и проверить серверное уведомление;
• обновить заказ один раз и включить операцию в сверку.

Webhooks, повторные уведомления и безопасность

Обработчик webhook должен быть доступен по защищенному соединению, проверять подлинность уведомления по правилам документации, быстро отвечать и переносить тяжелую обработку в очередь. Повторная доставка одного события не должна повторно выдавать товар или менять баланс.

Секреты интеграции нельзя размещать во фронтенд-коде, публичном репозитории или журналах. Доступы следует разделять между тестовой и рабочей средой, регулярно пересматривать и заменять при подозрении на компрометацию.

• серверное хранение ключей и секретов;
• проверка уведомлений по документации;
• идемпотентная обработка повторов;
• журналирование без платежных секретов;
• сверка API-статусов с реестром.

Как получить документацию и доступ

Сначала компания подает заявку и проходит KYB/KYC, проверку сайта, бизнес-модели, товаров или услуг и комплаенс. После согласования договора, платежных методов и банковского контура мерчанту предоставляются применимые технические материалы и параметры среды.

До промышленного запуска команда проверяет позитивные и негативные сценарии, просрочку, повтор уведомления, отмену, возврат при доступности и формирование отчетности. Комиссии, лимиты и сроки расчетов задаются индивидуально.

Частые вопросы