Crypto Casino
Torrent Gear
Cum funcționează plățile API pentru furnizori
API-ul de plată este un contract între aplicația dvs. și furnizorul care transformă „creați plata”, „confirmați” 3DS, „returnați fondurile”, „plătiți clientul” și „obțineți statutul” în apeluri fiabile, repetabile. Sub capota sunt zeci de reguli: tokenization, idempotency, webhooks, anti-fraudă, cozi, SLA și audit. Mai jos este o hartă practică a modului în care funcționează acest lucru pentru majoritatea furnizorilor.
Modelul de bază: ce entități sunt aproape întotdeauna
Plata/Taxa - o încercare de a scrie off (autoriza + captura sau imediat de cumpărare).
Metoda de plată - card (PAN/token), cont bancar/alias, portofel, metodă locală.
Client - entitate client/plătitor (uneori opțional).
Plata/Transfer - plata de ieșire către client/comerciant.
Rambursare/inversare - întoarcere la plata inițială (buclă închisă).
Eveniment Webhook - notificare de stare asincronă.
Litigiu/Chargeback - dispută asupra rețelei de plată (pentru carduri).
Comandă/Factură - context de afaceri în jurul plății.
Autentificare și securitate
Chei API/OAuth 2. 0/mTLS - pentru server-to-server.
Jetoanele client sunt jetoane de unică folosință pentru frontend (pentru a nu străluci secrete).
Card tokenization - PAN merge la furnizor; păstrezi doar tokenul.
PCI DSS - dacă vedeți un PAN, sunteți în zona PCI; este mai bine să evitați și să utilizați câmpurile/SDK-urile găzduite.
HMAC semnătură webhooks - verificarea faptului că evenimentul a venit de la furnizor.
Arhitectură duală - front public (JS/SDK) și backend privat (chei, logică de risc).
Idempotență, cozi și consecvență
Idempotency-Key în antet: repetarea cererii (cu timeout) nu creează un duplicat.
Outbox/Saga cu tine: pentru a „trimite o plată → scrie la registru → așteptați pentru webhook” a fost de acord.
Retrai cu backoff - numai pentru erori temporare. Este necesară matricea retrizabilă/neretrizabilă.
Criterii finale tipice (scheme și flux)
1) Carduri (Visa/Mastercard, etc.)
POST/plăți - creați o plată ('sumă', 'valută', 'plată _ metodă _ token', 'captură' = fals/adevărat).
POST/payments/{ id }/confirm - шаг 3-D Secure 2 (challenge/redirect result).
POST/payments/{ id }/capture - capture after authorization (parțial/complet).
POST/payments/{ id }/return (în părți, până la suma inițială).
GET/payments/{ id} - статус (autorizat, capturat, eșuat requires_action).
3-D Secure/SCA: furnizorul va returna 'requires _ action' + 'client _ secret '/URL pentru provocare. După confirmarea de către client, partea din față va returna rezultatul la backend → trageți '/confirma '.
2) A2A/Open Banking (Pay by Bank)
POST/plăți → răspuns de la 'redirect _ url' la banca clientului.
Clientul este autorizat de către banca → webhook 'payment. a reușit/nu a reușit ".
GET/payments/{ id} - status final (adesea doar asincron).
3) Metode locale (PIX, PayID, FPX, iDEAL etc.)
POST/payments → get 'qr _ code '/' deeplink '/' copy _ code'.
Arată utilizatorul, așteptați pentru cârlig web despre înscriere.
Termenele și TTL-urile de cod fac parte din contract.
4) Plăți
POST/plăți ('sumă', 'valută', 'destinație _ token' или 'card _ token '/' bancă _ alias').
GET/payouts/{ id} - статусы ('coadă', 'trimis', 'plătit', 'eșuat').
Payout Webhooks'. plătit/eșuat "este sursa adevărului.
Buclă închisă: este de preferat să plătiți la sursă (inversare) înainte de alternative.
Webhooks: „sursa adevărului”
Evenimente: 'plata. în așteptare/autorizat/capturat/eșuat „,” plată. requires_action', "rambursare. a reuşit „,” plata. plătit „,” litigiu. creat ", etc.
Livrare: cu retraiele semnate de HMAC, de multe ori „cel puțin o dată” → păstrați manipulatorul idempotent.
Cele mai bune practici: procesați cârligul web → actualizați registrul → răspundeți 2xx. Orice logică de afaceri după este asincron.
Eroare și procesarea stării
Coduri HTTP: „2xx” succes; eroarea clientului „4xx” (validare, fraudă/faliment bancar, token incorect); '5xx' - furnizor.
Причины отказов: 'insuficient _ funds',' do _ not _ honor ',' furat _ card', 'limit _ depasit', 'risk _ decline', 'bank _ indisponibil'.
Redo ferestre: pentru 3DS - nu se poate retrage la nesfârșit; pentru A2A - TTL-urile de redirecționare/cod sunt valabile; pentru plăți - backoff.
Antifraudă și risc
Amprentarea dispozitivului și datele comportamentale - prin intermediul JS/SDK al furnizorului sau al propriului strat.
Liste: risc BIN, liste alb-negru de metode/ASN/țări.
Porți reglabile: limite pentru noile instrumente, răcire, viteză, verificări ale pragului RG/AML.
Politici: 'pass/step-up/hold/block' bazat pe notare + reguli.
Caracteristici pe șine
Carduri: autorizare vs compensare (suma poate fi transferată), 3DS2, returnarea tranzacției inițiale, litigii/chargebacks.
A2A/Open Banking: flux de redirecționare/consimțământ, apruv mare, cost redus; totul este asincron și foarte dependent de bancă.
Rapid local: QR/alias, webhook instant, TTL și compilare strictă.
OCT/Push-to-Card (plăți cu cardul): aveți nevoie de jetoane cu cardul, sprijin pentru fonduri rapide de la emitent, fără 3DS.
Versioning și compatibilitate
Versiuni API: '/v1 ', „versiuni de date” în antet sau phicheflags.
Modificări compatibile invers: numai câmpuri nedistructive.
Deprecieri: program pentru retragerea versiunilor vechi, ghiduri de migrare, carti web duplicate in timpul migrarii.
Observabilitate și SLA
Metrica: p95 autorizatie/timp de plata, rata de aprobare prin BIN/banca/metoda, cota de retroys, webhooks-lag.
Jurnale: corelație prin 'request _ id',' idempotency _ key ',' payment _ id'.
Alerte: o creștere a refuzurilor pentru o anumită bancă/țară, o creștere a termenelor, evenimente duplicate.
Matura si finante
Registru: intrare dublă, jurnale neschimbabile, statusuri „autorizate/capturate/rambursate”.
Compilare pe trei fețe: registrul ↔ cărțile web ↔ rapoartele furnizorului/băncii.
Referințe: păstrați 'provider _ reference', 'network _ reference', 'payout _ reference' - acest lucru salvează suportul.
Sandbox, certificare și producție
Sandbox: token-uri de testare/carduri/bănci, simularea 3DS/redirects, „butoane” pentru statusuri de cârlig web.
Cazuri de testare: succes/eșec, provocare 3DS, timeout furnizor, duplicat webhook, captură parțială/rambursare, redirecționare anulare, plată eșuează.
Go-live: chei prod, domenii webhook, IP-allowlist, permite anti-fraudă, setați limite și alerte.
Mini-exemple (schematică)
Creați plata (card)
POST/v1/plăți
{
„sumă”: 9232, „monedă”: „EUR”, „payment_method_token"”: „pm_tok_123,” captură „: adevărat,” metadate „: {” order _ id': „ORD-1001”}
}
200 {„id':” „” status „:” „”: {„type”: „redirect',” url': „...”}}Webhook privind înscrierea cu succes
POST/webhooks
{
"tip": "plată. capturat, "date": {"id':" pay _ abc', "cuantum": 9232, "valută": "EUR", "metadate": {"order _ id':" ORD-1001 "}}
}Plata
POST/v1/plăți
{
"sumă": 5000, "valută": "EUR", "destination_token" ":" dest_tok_456, "" metadate ": {" user _ id':" u _ 77"}
}Lista de verificare a implementării
1. Arhitectura cheie: secretele serverului separat, secretele clientului - o singură dată.
2. Idempotență: în fiecare apel de scriere + manipulatori de cârlig web idempotent.
3. Webhooks: semnătură HMAC, retrai, coadă de sarcini, monitorizare lag.
4. 3DS/SCA și redirecționează: manipularea anulărilor/timeouts, încercarea prietenului-UX din nou.
5. Antifraudă/limite: viteză, detalii noi, liste negre, praguri RG/AML.
6. Registru și reconciliere: intrare dublă, reconciliere trilaterală, alerte de anomalie.
7. Orchestrație: furnizor de rezervă, reguli de rutare după BIN/țară/sumă.
8. Monitorizare: tablourile de bord aprobă rata/p95/retroactive, alerte prin bănci/metode.
9. Legal/PCI: tokenizare, politica de returnare, buclă de plăți închisă.
10. Plan de degradare: canal kill-switch, cozi, mod manual pentru operații critice.
Greșeli frecvente
Stocarea PAN pe partea sa, fără PCI și tokenization.
Fără idempotență → duplicați plățile/plățile cu timeout-uri.
Logică privind răspunsurile sincrone fără a lua în considerare cărțile web.
Un singur furnizor pe piață, fără rezervă/cascadă.
Nu se anulează/redirecționează procesarea 3DS → nu se pierd coșurile de reciclare.
Un pachet slab → tranzacții „înghețate” și „pierdute”.
Lipsa de SLA-uri clare și alerte → problema pe care o vede clientul, nu tu.
Mini-Întrebări frecvente
Care este mai fiabil: status sincron sau webhook?
Webhook este sursa adevărului; răspuns sincron - numai „acțiune acceptată/necesară”.
Te poţi descurca fără 3DS?
Depinde de reglementare/risc. În CE/Marea Britanie - SCA este obligatorie; pentru risc ridicat, pas-up este mai bine.
Cum de a crește rata de aprobare?
BIN/bank/metodă de orchestrare, șine locale, retras inteligent, descriptori corecte, FPR scăzut anti-fraudă.
De ce este plata „nu instant”?
Depinde de șină (OST/A2A/local), banca destinatarului și limitele. Să avem o fereastră SLA cinstit și fluxul de stare.
Plățile API nu sunt numai "creați o plată. "Această disciplină: autentificare sigură tokenizare idempotență cărți web asincrone registru și pliere orchestrare și monitorizare antifraudă/AML. Construiți procesul în conformitate cu această schemă, păstrați canale de rezervă și UX transparent - iar nivelul de plată va fi rapid, previzibil și rezistent la eșecurile băncilor și furnizorilor.