Что такое платежи через API и кому это нужно
Платежи через API — это программный способ принимать деньги на сайте, в мобильном приложении, маркетплейсе или бэкофисной системе по защищённым протоколам провайдера. Вместо готовых виджетов вы напрямую создаёте платежи, управляете подтверждением, проводите возвраты, настраиваете рекурренты и получаете события по вебхукам. Такой подход выбирают, когда нужно:
- Полный контроль UX/продажи: кастомная воронка, A/B‑тесты, свои чек‑ауты.
- Широкая география и методы оплаты: карты, СБП, кошельки, Apple Pay/Google Pay.
- Глубокая автоматизация: рекуррентные списания, холд/капча, частичные возвраты, сложная логика.
- Масштаб и надёжность: идемпотентность, ретраи, мониторинг.
Как устроен поток платежа: шаги от клиента до зачёта
Типовой поток выглядит так:
- Клиент выбирает способ оплаты и подтверждает заказ.
- Ваш бэкенд создаёт платеж через API провайдера (передавая сумму, валюту, описание, customer_id и пр.).
- Провайдер возвращает статус и данные для подтверждения (редирект/iframe/приложение банка/3‑D Secure).
- Клиент проходит аутентификацию (3‑D Secure, СБП) и возвращается к вам.
- Провайдер отправляет вебхук об успехе/отказе; вы фиксируете результат, активируете услугу.
- Дополнительно: фискализация, кассовый чек, доставка, инвойс, отчётность.
Ключевые технические элементы: идемпотентность (чтобы избежать дублей), вебхуки, безопасное хранение токенов, журналирование и трассировка.
Критерии выбора провайдера и модели интеграции
При выборе учитывайте:
- Методы оплаты: карты (МИР/Visa/Mastercard), СБП, кошельки, BNPL, токены/рекурренты.
- Комиссия и выплаты: тарифы, сроки зачисления, сплит‑платежи, холд/капча.
- География и валюта: поддержка РФ/ЕАЭС/РБ, мультивалютность, курсы.
- Интеграция: REST/HTTP, SDK, webhooks, песочница, SLA и документация.
- Соответствие: PCI DSS, 3‑D Secure 2, антифрод и риск‑скрининг.
- Поддержка и отчётность: выгрузки, сверка, дашборды, UTM/метки.
Модели интеграции:
- Хостед‑чекаут: быстрый старт, меньше PCI‑нагрузки, меньше контроля UX.
- API‑интеграция: максимальная гибкость, требуется больше ответственности.
- Гибрид (встроенный виджет + серверный API): компромисс между скоростью и контролем.
Провайдеры: ЮMoney, Сбербанк, Т‑Банк, Беларусбанк (сравнение)
Ниже — короткое сравнение популярных провайдеров в РФ/РБ контексте.
| Провайдер |
Способы оплаты |
Рекурренты |
Песочница |
Акцент |
| ЮMoney (ЮKassa) |
Карты, СБП, кошелёк, Apple/Google Pay |
Да |
Да |
Широкие методы, удобный API |
| Сбербанк Эквайринг |
Карты, СБП, 3‑DS |
Да |
Да |
Банк №1, надёжность и узнаваемость |
| Т‑Банк (эквайринг) |
Карты, СБП, Apple/Google Pay |
Да |
Да |
Гибкий API, быстрый онбординг |
| Беларусбанк |
Карты, локальные методы |
Возможно |
Возможно |
РБ‑юрисдикция, локальная поддержка |
См. страницы провайдеров для подробной интеграции и примеров.
Быстрый старт интеграции: токены, эндпоинты, идемпотентность
Базовый план внедрения API‑платежей:
- Получите учётные данные (API‑ключи/секреты), настройте роли и ограничьте доступ по IP.
- Создайте endpoint на бэкенде для «создания платежа» и отдельный публичный маршрут для редиректа/виджета.
- Реализуйте обработчик вебхуков (подтверждение подписи, идемпотентная запись, ответ 2xx).
- Включите идемпотентность на создание/подтверждение/возврат (Idempotency‑Key).
- Добавьте журналирование: корреляционный ID, статус‑машину платежей, ретраи с экспоненциальной задержкой.
Безопасность: PCI DSS, 3‑D Secure, антифрод
Безопасность — ключевой аспект:
- PCI DSS: минимизируйте область по SAQ A/A‑EP, не храните PAN, используйте токенизацию.
- 3‑D Secure 2: снижает риски чарджбеков и помогает аутентифицировать держателя карты.
- Антифрод: лимиты, velocity‑проверки, device‑fingerprint, поведенческая аналитика.
- Секреты: храните в Vault/KMS, регулярно ротируйте ключи, включите mTLS/HTTPS‑pinning для мобильных.
Тестирование: песочницы, тестовые карты и вебхуки
Перед продом проверьте:
- Позитивные/негативные сценарии: успешная оплата, 3‑DS, отмена, таймаут, ошибка банка.
- Вебхуки: эмуляция, повторная доставка, сигнатуры, дедупликация.
- Нагрузку: пиковые события (распродажи), очереди и ретраи.
- Сверку: соответствие сумм заказов и поступлений, частичные возвраты.
Рекуррентные платежи и подписки
Для подписок сохраните токен метода оплаты после первого SCA (3‑DS), соблюдайте требования к уведомлениям и отказам, реализуйте календарь списаний, grace‑period, повторные попытки и финальные письма отмены.
Ошибки, мониторинг и SLA
Ведите карту ошибок: сетевые (5xx/timeout), бизнес‑ошибки (insufficient_funds, do_not_honor), отказ 3‑DS. Подключите алерты (SLA TTR), дашборды конверсии, время до подтверждения, долю 3‑DS, чарджбеки.
Заключение и следующий шаг
Определите целевые методы оплаты, выберите провайдера, спроектируйте поток, подключите вебхуки и идемпотентность, пройдите чек‑лист безопасности и тестирования. Далее — изучите руководства:
- ЮMoney API
- Сбербанк API
- Т‑Банк API
- Беларусбанк API
- Вебхуки и идемпотентность
- Песочницы и тестовые карты