Крипто-казино
Torrent Gear
Як працює API і навіщо воно потрібно ігровим платформам
API - це «спільна мова» між частинами ігрової екосистеми: платформою акаунтів і гаманців (PAM), віддаленим ігровим сервером (RGS), платіжними провайдерами, KYC/AML-сервісами, антифродом, CRM/маркетингом і BI. Без чітких API платформа не масштабується, не проходить сертифікацію і не витримує темп інтеграцій. Нижче - як це влаштовано і навіщо це потрібно.
1) Які бувають API в ігровій платформі
1. Ігрові (RGS ↔ PAM):- старт/завершення раунду, дебет/кредит гаманця, валідація лімітів і статусу гравця;
- синхронні операції (REST/gRPC) + події (webhooks/шина).
- депозити/висновки, холди, верифікація карток/гаманців;
- підтвердження асинхронно через webhooks.
- завантаження документів, перевірки санкційних/РЕР-листів, статус кейса.
- нарахування фріспінів/кешбек, вейджер, трекінг місій/турнірів.
- device-fingerprint, velocity-правила, перевірки проксі/VPN, графові зв'язки.
- сегменти, тригерні кампанії, пуши/email, A/B-фічфлаги.
- щоденні вивантаження GGR/NGR, телеметрія, аудит логів та інцидентів.
2) Транспорт і стилі інтеграції
REST/JSON: універсально, зручно для зовнішніх партнерів.
gRPC/Protobuf: висока продуктивність між внутрішніми сервісами.
WebSocket/Server-Sent Events: лайв-події (live-столи, турніри, прогресив-джекпоти).
Webhooks: асинхронні повідомлення PSP/KYC/ігрових подій (з підписом).
Шина подій (Kafka/PubSub): аналітика, антифрод, реплікація журналів.
3) Ключові патерни надійності
Ідемпотентність: 'Idempotency-Key'для дебету/кредиту і виплат; повторний запит не дублює транзакцію.
Саги/компенсації: якщо кредит не пройшов - відкотити дебет раунду.
Черги та ретраї: експоненціальна пауза, дедуплікація повідомлень.
Circuit Breaker/Timeouts: ізоляція «падаючих» інтеграцій.
Exactly-once для грошей: ідемпотентні записи, унікальні ключі транзакцій, двофазне підтвердження де доречно.
4) Безпека та доступ
OAuth2. 0 (Client Credentials) + JWT з коротким TTL для сервер-сервер.
mTLS для критичних внутрішніх каналів.
Підписи webhooks (HMAC) і перевірка'timestamp '/replay-захист.
Scopes/рольова модель: доступ по доменах (payments:write, kyc:read і т.п.).
Rate limiting / WAF / IP allow-list: захист від зловживань.
Secret-management: ротація ключів, KMS/HSM.
Відповідність вимогам: зберігання PII по GDPR, журнал доступу, мінімізація даних; для карт - PCI DSS (токенізація, немає «сирих» PAN).
5) Версіонування та сумісність
Версія в дорозі: '/v1/...', еволюція через '/v2'.
Стабільні контракти: додавання - назад сумісні (нові поля опціональні).
Deprecation-політика: терміни і міграційні гайди.
JSON-схеми/Protobuf-контракти: єдине джерело правди.
6) Модель даних гравця і грошей (базово)
Player: id, статус (active/self-excluded/blocked), ліміти RG, kyc_status.
Wallet: баланс, валюта, блокування (hold), історія проводок.
Transaction: 'txn _ id'( унікальний), тип (debit/credit/hold), сума, референс раунду, ідемпотент-ключ, статус (pending/committed/failed).
7) Приклади ендпойнтів (скорочено)
1) Старт раунду/дебет
`POST /v1/games/rounds/debit`
json
{
"player_id": "p_123", "round_id": "r_987", "amount": "1. 00", "currency": "EUR", "idempotency_key": "b2f6-…", "meta": {"game_id": "slot_Atlantis"}
}Відповідь
json
{"txn_id":"t_555","balance":"99. 00","status":"committed"}2) Завершення/кредит
`POST /v1/games/rounds/credit`
json
{
"player_id":"p_123", "round_id":"r_987", "win_amount":"12. 50", "txn_ref":"t_555"
}3) Webhook про депозит від PSP
`POST https: //platform. example. com/hooks/payments`
Заголовок: `X-Signature: sha256 =...', тіло: `payment_id, amount, status, timestamp`.
4) KYC-кейси
'POST/v1/kyc/cases'- створити;'GET/v1/kyc/cases/{ id}'- статус (pending/approved/rejected).
8) Бонуси і вейджер через API
Нарахування: 'POST/v1/bonuses/grant'( тип, сума/фріспіни, термін, max bet).
Вейджер-лічильник: 'GET/v1/bonuses/{ id }/wager'- залишок, внесок ігор.
Антиаб'юз: ліміти ставки, заборонені ігри, velocity-правила.
9) Реальний час: лайв-ігри та турніри
WebSocket канал: баланс/події раундів, стан турніру, прогрес місій.
Back-pressure: буферизація і відбраковування «застарілих» апдейтів.
Синхронізація часу: мітки сервера і дрифт-корекція.
10) Спостережуваність і аудит
Кореляція: 'X-Request-ID '/trace-id у всіх викликах.
Метрики: QPS/latency/помилки за методами, success rate транзакцій, час виведення.
Аудит-лог грошей: незмінне сховище, ретеншн згідно ліцензії.
Реплеї раундів: зберігання детермінованих входів RNG-модуля і розрахунків.
11) Тестові середовища і SLA
Sandbox: фіктивні PSP/KYC/ігри, детерміновані відповіді.
Контракти-тести: перевірка схем перед викладкою.
Load-тести: пікові турніри/джекпоти, деградаційні сценарії.
SLA: аптайм, межі латентності, час підтвердження платежів, RTO/RPO.
12) Часті помилки і як їх уникнути
Немає ідемпотентності на гроші. Підсумок - дублі. Рішення: ключі, унікальні'txn _ id', ідемпотентні апі.
Слабкі webhooks. Без підпису/повторів → втрата статусів. Рішення: HMAC, retry з дедуплікацією.
«Ламаюче» версіонування. Рішення: additive-підхід, терміни депрекації.
Змішування доменів. Гроші, бонуси та гра - окремі сервіси/кордони.
Логіка в клієнті. Правила грошей/виплат - тільки на сервері.
13) Міні-гайд по дизайну помилок
Коди: «400» (валідація), «401/403» (доступ), «404», «409» (конфлікт ідемпотентності), «422» (бізнес-помилка), «429» (rate limit), «5xx» (інцидент).
Відповідь:json
{
"error":"VALIDATION_ERROR", "message":"amount must be positive", "trace_id":"…", "details":{"field":"amount","rule":"gt:0"}
}14) Де API «роблять бізнес»
Онбординг провайдерів ігор: швидкі інтеграції RGS → більше контенту і утримання.
Платежі та локальні методи: вище конверсія в депозит і висновок.
KYC/AML/фрод: менше ризиків штрафів і chargeback.
CRM/A/B: персональні кампанії без ручної роботи.
BI/звітність: прозорі метрики, відповідність ліцензіям.
15) Чеклісти (збережіть)
Security & Compliance: mTLS/OAuth2, HMAC-webhooks, GDPR/PCI, мінімізація PII, аудит-лог.
Money Safety: ідемпотентність, унікальні txn, саги, exactly-once облік.
DX (Dev Experience): Swagger/Protobuf-контракти, SDK, приклади, пісочниця, changelog.
Resilience: circuit breaker, ретраї, rate-limit, дедуплікація.
Governance: версія/депрекація, міграційні ноти, моніторинг SLO.
API склеює ігрову платформу в ціле: ігри чесно спілкуються з гаманцем, платежі підтверджуються безпечно, бонуси і KYC працюють автоматично, а аналітика і антифрод отримують події в реальному часі. Грамотний дизайн - це безпека грошей і даних, швидкість інтеграцій і відповідність вимогам ліцензування. Дотримуйтесь патернів стійкості, версії та ідемпотентності - і ваша екосистема буде масштабуватися без втрати контролю.