Fluxpays API

Создавайте платежи, запрашивайте их статус и получайте подписанные оповещения. Мерчантское API Fluxpays построено на REST, возвращает обычный JSON и авторизует каждый запрос Bearer-токеном; каждое оповещение подписано полем sign верхнего уровня.

Базовый URL: https://api.fluxpays.org·Версия: 2026-07-18

Введение#

Мерчантское API Fluxpays — компактный REST-интерфейс поверх HTTPS: создание платежа, запрос его статуса, чтение баланса. Запросы и ответы — обычный JSON: для запроса достаточно Bearer-токена. Подписываются только оповещения (callbacks) о событиях — paid, refund и payout: каждая доставка несёт поле sign верхнего уровня, а её подлинность проверяется вашей солью.

Аутентификация#

У магазина ДВА секрета, оба в Дашборде, в настройках воркспейса: API-ключ — токен, который передаётся как Bearer в заголовке Authorization каждого запроса, — и соль. Ключ авторизует запросы; соль нужна только для проверки поля sign входящих оповещений — по сети она никогда не передаётся. Оба секрета держите вне клиентского кода и публичных репозиториев.

Заголовок Bearer

Authorization: Bearer {token}

Соль (второй ключ в настройках) используется только для проверки поля sign входящих оповещений: HMAC-SHA256 от компактного JSON с отсортированными ключами верхнего уровня (без поля sign). По сети соль не передаётся.

Пример

curl https://api.fluxpays.org/balance \
  -H "Authorization: Bearer {token}"

Ошибки#

Fluxpays использует стандартные коды ответов HTTP: 2xx — успех, 4xx — ошибка на стороне клиента, 5xx — ошибка на стороне Fluxpays. Успешные ответы — обычный JSON; ответы с ошибкой — простой текст с описанием причины (например, Invalid email, Payment not found).

Статус	Название	Описание
200	OK	Успех — JSON с запрошенными данными.
400	Bad Request	Неверные параметры: некорректные amount или type, невалидный email, либо привязанный способ отключён у магазина.
401	Unauthorized	Отсутствует или неверен заголовок Authorization: Bearer {token}.
403	Forbidden	Магазин не активирован.
404	Not Found	Платёж не найден — orderID не существует или принадлежит другому магазину.
5xx	Server Error	Что-то пошло не так на нашей стороне — повторите позже; если orderID не вернулся, ничего не создано.

Платежи#

Создание платежа#

Регистрирует заказ и возвращает ссылку на платёжную страницу, куда нужно перенаправить плательщика. Конкретный type жёстко привязывает ссылку к чекауту этого способа; "all" открывает выбор всех способов. Подпись не нужна — достаточно Bearer-токена. Когда плательщик оплатит заказ, подтверждение PAID придёт ПОДПИСАННЫМ оповещением (см. «Оповещения») — проверьте его sign, прежде чем отгружать товар.

POST/createPayment

Параметры тела запроса

Имя	Тип	Описание
amount	numberобязательный	Сумма заказа в рублях — базовая; комиссия рассчитывается при оплате по выбранному плательщиком способу.
type	integer \| "all"обязательный	Способ оплаты, к которому привязывается ссылка: 0 — СБП, 1 — Карта МИР, 2 — криптовалюта, 3 — Visa · Mastercard, 4 — СберПей. Передайте "all", чтобы плательщик выбрал любой включённый способ сам. Привязанный способ должен быть включён у магазина.
email	stringобязательный	Email плательщика — отображается в деталях заказа и используется как реквизит списания для СБП / СберПей.
description	string	Описание заказа — показывается плательщику на платёжной странице.
lang	string	Язык платёжной страницы: EN или RU.

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
orderID	string	ID платежа (uuid) — используется в «Статусе платежа» и «Возврате платежа».
link	string	Ссылка на платёжную страницу — перенаправьте на неё плательщика.
amount	number	Сумма заказа в рублях, как зарегистрирована.
expires	integer	Срок действия ссылки, Unix ms — ссылка живёт 10 минут.

curl https://api.fluxpays.org/createPayment \
  -X POST \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  -d '{
    "amount": 1000,
    "type": 0,
    "email": "[email protected]"
  }'

Ответ

{
  "status": "success",
  "orderID": "9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
  "link": "https://fluxpays.org/pay/9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
  "amount": 1000,
  "expires": 1784404593330
}

Возвращает: JSON с orderID, платёжной ссылкой и сроком её действия (ссылка живёт 10 минут).

Статус платежа#

Возвращает текущее состояние платежа, созданного вашим магазином (чужие платежи недоступны). Опрашивайте сколько угодно — авторитетное, подписанное подтверждение приходит оповещением; опрос используйте как запасной вариант, если оно не пришло в течение 5 минут.

POST/paymentStatus

Параметры тела запроса

Имя	Тип	Описание
orderID	stringобязательный	orderID из ответа «Создание платежа».

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
payment	object	Объект платежа.
payment.orderID	string	ID платежа (uuid).
payment.status	string	WAIT, PAID, CANCELED или REFUNDED.
payment.amount	number	Списанная сумма в рублях.
payment.fee	number	Комиссия в рублях по использованному способу.
payment.method	string	Способ, которым реально оплатил плательщик.
payment.demo	boolean	true для демо-платежей (тестовых).
payment.created	integer	Дата создания, Unix ms.
payment.paidDate	integer	Дата оплаты, Unix ms — null, пока платёж в статусе WAIT.

curl https://api.fluxpays.org/paymentStatus \
  -X POST \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  -d '{"orderID":"9fd37f19-2b3d-4424-aa90-78bdafd6ed03"}'

Ответ

{
  "status": "success",
  "payment": {
    "orderID": "9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
    "status": "PAID",
    "amount": 1000,
    "fee": 100,
    "method": "СБП",
    "demo": false,
    "created": 1784403993000,
    "paidDate": 1784404120000
  }
}

Возвращает: JSON с платежом: status — WAIT, PAID, CANCELED или REFUNDED; amount — сколько списано с плательщика; fee — комиссия. Авторитетное, подписанное подтверждение — оповещение.

Возврат платежа#

Возвращает оплаченный (PAID) платёж — тот же процесс, что запускает кнопка возврата в Дашборде: PSP возвращает деньги плательщику, зачисленная сумма списывается с баланса магазина, платёж переходит в REFUNDED. Идемпотентно: повторный возврат уже возвращённого (REFUNDED) платежа просто вернёт его текущее состояние. Криптоплатежи через API не возвращаются — верните средства вручную. Если асинхронный возврат позже не пройдёт на стороне PSP, платёж откатывается в PAID (refundStatus ERROR), а баланс восстанавливается. Итоговый, проверяемый результат придёт ПОДПИСАННЫМ оповещением о возврате — проверьте его sign.

POST/refundPayment

Параметры тела запроса

Имя	Тип	Описание
orderID	stringобязательный	orderID оплаченного платежа, который нужно вернуть.

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
payment.status	string	REFUNDED, как только возврат принят. Откатывается в PAID, если PSP позже не проведёт асинхронный возврат.
payment.refundStatus	string	PROCESSING — PSP принял возврат и завершает его асинхронно; SUCCESS — деньги вернулись плательщику. Итоговое состояние также придёт вебхуком о возврате.

curl https://api.fluxpays.org/refundPayment \
  -X POST \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  -d '{"orderID":"9fd37f19-2b3d-4424-aa90-78bdafd6ed03"}'

Ответ

{
  "status": "success",
  "payment": {
    "orderID": "9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
    "status": "REFUNDED",
    "refundStatus": "PROCESSING",
    "amount": 1000,
    "fee": 100,
    "method": "СБП",
    "demo": false,
    "created": 1784403993000,
    "refundDate": 1784490210000
  }
}

Возвращает: JSON с платежом: status REFUNDED, refundStatus PROCESSING или SUCCESS и refundDate. Ошибки — обычный текст: 400 (недостаточно средств, PSP отклонил возврат) или 404 Payment not found.

Баланс#

Получить баланс#

Возвращает все счета кошелька магазина (RUB, USD, EUR, KZT) с детализацией: available — зачисленные деньги, доступные к трате и выводу прямо сейчас; hold — оплаченные платежи в 24-часовом холде, их зачислит суточный релиз (только RUB); balance — их сумма. Поле balance на верхнем уровне дублирует available по RUB для старых интеграций.

GET/balance

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
currency	string	Валюта верхнеуровневого поля balance (RUB) — для старых интеграций.
balance	number	Доступный RUB, продублирован на верхнем уровне для старых интеграций.
accounts	array	Массив счетов — по записи на валюту кошелька.
accounts.*	object	Элемент массива.
accounts.*.currency	string	Валюта счёта: RUB, USD, EUR или KZT.
accounts.*.available	number	Зачисленные деньги — можно тратить и выводить прямо сейчас.
accounts.*.hold	number	Оплаченное в 24-часовом холде (только RUB).
accounts.*.balance	number	available + hold.

curl https://api.fluxpays.org/balance \
  -H "Authorization: Bearer {token}"

Ответ

{
  "status": "success",
  "currency": "RUB",
  "balance": 125430.5,
  "accounts": [
    { "currency": "RUB", "available": 125430.5, "hold": 2200, "balance": 127630.5 },
    { "currency": "USD", "available": 14.16, "hold": 0, "balance": 14.16 },
    { "currency": "EUR", "available": 0, "hold": 0, "balance": 0 },
    { "currency": "KZT", "available": 0, "hold": 0, "balance": 0 }
  ]
}

Возвращает: JSON с массивом accounts — по записи на валюту с available, hold и итогом.

Выплаты#

Выплаты создаются прямо из API — СБП, Карта МИР и USDT TRC-20. Метод сам определяет счёт, с которого уходят деньги: СБП и Карта МИР списываются с рублёвого баланса, USDT — с долларового, поэтому currency в запросе должна совпадать с этим счётом. Комиссия, минимальная и максимальная суммы берутся из тарифов вашего воркспейса — тех же, что показаны в Дашборде. Выплаты доступны сразу после активации магазина; при необходимости отдельный способ может быть отключён для воркспейса, тогда запрос вернёт METHOD_DISABLED. Итоговый статус приходит на ваш callback-URL подписанным вебхуком (см. «Вебхуки») либо его можно запросить методом «Статус выплаты». Здесь же — справочники для интеграции: курсы валют и банки-участники СБП.

Создание выплаты#

Создаёт выплату на указанные реквизиты. Сумма amount — брутто: она списывается с баланса целиком, комиссия тарифа удерживается из неё, получателю уходит net. Комиссия состоит из процента и фиксированной части; для USDT фиксированная часть — это комиссия сети TRC-20 (по умолчанию 3.5 USDT), и обе настраиваются для вашего воркспейса. Набор обязательных реквизитов зависит от method: для sbp — phone и bankId, для mir — cardNumber и cardHolder, для usdt — address. Деньги резервируются в момент запроса, поэтому повторный вызов создаст вторую выплату — используйте externalId, чтобы сверять их со своими записями.

POST/createPayout

Параметры тела запроса

Имя	Тип	Описание
method	stringобязательный	Способ выплаты: sbp, mir или usdt (USDT в сети TRC-20).
currency	stringобязательный	Счёт списания. Должен совпадать со счётом способа: RUB для sbp и mir, USD для usdt.
amount	numberобязательный	Сумма списания с баланса (брутто). Комиссия удерживается из неё.
phone	string	Только sbp: телефон получателя в СБП.
bankId	string	Только sbp: ID банка получателя из метода «Банки СБП».
cardNumber	string	Только mir: номер карты МИР.
cardHolder	string	Только mir: ФИО держателя карты — обязательное поле для карточных выплат.
address	string	Только usdt: адрес кошелька USDT в сети TRC-20.
externalId	string	Ваш собственный идентификатор выплаты — возвращается в ответе, в статусе и в вебхуке.
description	string	Произвольный комментарий — сохраняется в истории операций воркспейса.

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
payoutID	integer	ID выплаты в Fluxpays — с ним запрашивается статус.
state	string	processing — выплата передана провайдеру; queued — принята и ждёт свободный канал.
amount	number	Сумма, списанная с баланса (брутто).
currency	string	Валюта счёта списания.
fee	number	Удержанная комиссия по тарифу воркспейса.
net	number	Сумма к зачислению получателю: amount минус комиссия (процент плюс фиксированная часть).
externalId	string	Ваш идентификатор из запроса, либо null.

curl https://api.fluxpays.org/createPayout \
  -X POST \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  -d '{
    "method": "sbp",
    "currency": "RUB",
    "amount": 15000,
    "phone": "+79001234567",
    "bankId": "100000000111",
    "externalId": "payout-2041"
  }'

Ответ

{
  "status": "success",
  "payoutID": 4812,
  "state": "processing",
  "amount": 15000,
  "currency": "RUB",
  "fee": 525,
  "net": 14475,
  "externalId": "payout-2041"
}

Возвращает: JSON с payoutID, состоянием выплаты и разбивкой суммы: сколько списано, сколько удержано комиссией и сколько уйдёт получателю. При ошибке — поля error и message: WRONG_WALLET, METHOD_DISABLED, MIN_AMOUNT, MAX_AMOUNT, INSUFFICIENT, CHANNEL_UNAVAILABLE.

Статус выплаты#

Возвращает текущее состояние выплаты. Fluxpays сам опрашивает провайдера, поэтому статус обновляется без вашего участия — этот метод нужен, если вы не полагаетесь на вебхуки. Состояние failed означает, что деньги уже возвращены на баланс воркспейса.

GET/payoutStatus

Параметры пути и запроса

Имя	Тип	Описание
payoutID	integerобязательный	ID выплаты, полученный при её создании.

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
payoutID	integer	ID выплаты в Fluxpays.
state	string	queued — ждёт канал; processing — у провайдера; paid — доставлена; failed — не прошла, деньги возвращены на баланс.
amount	number	Сумма, списанная с баланса (брутто).
net	number	Сумма к зачислению получателю.
currency	string	Валюта счёта списания.
destination	string	Реквизиты получателя в том виде, в каком они отображаются в истории операций.
externalId	string	Ваш идентификатор из запроса, либо null.
created	integer	Время создания выплаты, unix-время в миллисекундах.

curl "https://api.fluxpays.org/payoutStatus?payoutID=4812" \
  -H "Authorization: Bearer {token}"

Ответ

{
  "status": "success",
  "payoutID": 4812,
  "state": "paid",
  "amount": 15000,
  "net": 14475,
  "currency": "RUB",
  "destination": "СБП · Сбербанк · +79001234567",
  "externalId": "payout-2041",
  "created": 1784404593330
}

Возвращает: JSON с состоянием выплаты, суммами и реквизитами получателя.

Курсы валют#

Возвращает текущие курсы валют — сколько рублей стоит 1 единица валюты. Источник — ЦБ РФ, значения кэшируются на час. Это курс ВАШЕГО воркспейса: если для него задана наценка к курсу, она уже учтена, поэтому обмен пройдёт ровно по этому числу. USDT повторяет курс USD — именно этот курс применяется к операциям с Tether.

GET/rates

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
USD	number	Курс доллара США, рублей за 1 USD.
EUR	number	Курс евро, рублей за 1 EUR.
KZT	number	Курс казахстанского тенге, рублей за 1 KZT.
USDT	number	Курс USDT, рублей за 1 USDT — применяется к операциям с Tether.

curl https://api.fluxpays.org/rates \
  -H "Authorization: Bearer {token}"

Ответ

{
  "status": "success",
  "USD": 79.42,
  "EUR": 90.1,
  "KZT": 0.16,
  "USDT": 79.4
}

Возвращает: JSON с полем на каждую валюту (USD, EUR, KZT, USDT) — рублей за 1 единицу.

Банки СБП#

Возвращает банки-участники СБП, доступные для выплат по СБП. id банка указывается в реквизитах выплаты. Список меняется редко — кэшируйте его на своей стороне, обновления раз в сутки достаточно.

GET/sbpBanks

Формат ответа: JSON

Схема успешного ответа

Имя	Тип	Описание
banks	array	Массив с данными банков, подключённых к системе быстрых платежей (СБП).
banks.*	object	Элемент массива.
banks.*.id	number	ID банка в системе быстрых платежей (СБП) — источник: справочник НСПК.
banks.*.name	string	Наименование банка.
banks.*.logo	string	URL логотипа банка (НСПК).

curl https://api.fluxpays.org/sbpBanks \
  -H "Authorization: Bearer {token}"

Ответ

{
  "status": "success",
  "banks": [
    { "id": 100000000004, "name": "Т-Банк", "logo": "https://qr.nspk.ru/proxyapp/logo/bank100000000004.png" },
    { "id": 100000000111, "name": "Сбербанк", "logo": "https://qr.nspk.ru/proxyapp/logo/bank100000000111.png" },
    { "id": 100000000008, "name": "АЛЬФА-БАНК", "logo": "https://qr.nspk.ru/proxyapp/logo/bank100000000008.png" }
  ]
}

Возвращает: JSON с массивом banks — id, отображаемое название и логотип каждого банка (данные из справочника НСПК).

Оповещения#

Fluxpays отправляет все события на ОДИН callback-URL (задаётся в Дашборде, в настройках воркспейса) в едином формате тела: поле event говорит, что произошло — paid, refund или payout, — а остальные поля несут данные этого события. Каждая доставка подписана: поле sign верхнего уровня — это HMAC-SHA256 (hex) от полезной нагрузки, сериализованной компактным JSON с ключами верхнего уровня, отсортированными по алфавиту, без поля sign (вложенные объекты и массивы сохраняют свой порядок), ключ — ваша СОЛЬ. Соберите канонический JSON из разобранных полей, пересчитайте HMAC и сравните, прежде чем доверять данным: URL может узнать кто угодно, но соль есть только у Fluxpays. Отвечайте 200 для подтверждения.

Уведомление PAID#

Отправляется, когда плательщик завершил оплату. Поля описывают проведённый платёж; amount — сколько реально списано с плательщика (база + комиссия, если её платит покупатель), fee — комиссия использованного способа.

POSThttps://your-site.com/webhook

Параметры тела запроса

Имя	Тип	Описание
event	string	Всегда "paid" для этой доставки — по полю event различаются три вида вебхуков.
orderID	string	ID платежа (uuid) — тот же orderID, что вернуло «Создание платежа».
status	string	Для этого события всегда PAID.
amount	number	Списанная сумма в рублях.
fee	number	Комиссия в рублях по способу, которым оплатил плательщик.
method	string	Способ, которым реально оплатил плательщик (например, СБП, Карта МИР).
demo	boolean	true для демо-платежей (тестовых) — никогда не отгружайте реальный товар по демо-платежу.

# What Fluxpays sends to your callback URL:
POST /webhook HTTP/1.1
Host: your-site.com
Content-Type: application/json

# sign = HMAC-SHA256_hex(other fields as sorted-key compact JSON, SALT)
{"event":"paid","orderID":"9fd37f19-...","status":"PAID",
 "amount":1000,"fee":100,"method":"СБП","demo":false,
 "sign":"84fa01d7c25b9e360dc47f18..."}

Ответ

{
  "event": "paid",
  "orderID": "9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
  "status": "PAID",
  "amount": 1000,
  "fee": 100,
  "method": "СБП",
  "demo": false,
  "sign": "84fa01d7c25b9e360dc47f18a6e5923bf1708c4d5e2ab96327d90e5fb1c483a6"
}

Уведомление о возврате#

Отправляется, когда возврат принят (status REFUNDED, refundStatus PROCESSING или SUCCESS), и повторно, когда асинхронный возврат завершается: refundStatus SUCCESS — деньги вернулись плательщику, либо status PAID + refundStatus ERROR — PSP не смог вернуть деньги, и платёж откатился в PAID. Поле event всегда "refund" — по нему отличайте эту доставку от вебхуков платежей и выплат на том же URL. Подпись sign проверяйте тем же способом, что и у платежей, и отвечайте 200 для подтверждения.

POSThttps://your-site.com/webhook

Параметры тела запроса

Имя	Тип	Описание
event	string	Всегда "refund" для этой доставки.
orderID	string	ID платежа (uuid) — тот же orderID, что вернуло «Создание платежа».
status	string	Текущий статус платежа: REFUNDED, либо PAID, если возврат не прошёл и откатился.
refundStatus	string	PROCESSING — принят, финальная доставка придёт позже; SUCCESS — деньги вернулись плательщику; ERROR — PSP не провёл возврат, платёж снова PAID, баланс восстановлен.
amount	number	Сумма возврата в рублях — столько получит обратно плательщик.
demo	boolean	true для демо-платежей (тестовых) — реальные деньги не двигались ни туда, ни обратно.

# What Fluxpays sends to your callback URL (the same URL as
# payments — the "event" field tells the deliveries apart):
POST /webhook HTTP/1.1
Host: your-site.com
Content-Type: application/json

# sign = HMAC-SHA256_hex(other fields as sorted compact JSON, SALT)
{"event":"refund","orderID":"9fd37f19-...","status":"REFUNDED",
 "refundStatus":"SUCCESS","amount":1000,"demo":false,
 "sign":"d21c84e0f67aba4c19f7d02e..."}

Ответ

{
  "event": "refund",
  "orderID": "9fd37f19-2b3d-4424-aa90-78bdafd6ed03",
  "status": "REFUNDED",
  "refundStatus": "SUCCESS",
  "amount": 1000,
  "demo": false,
  "sign": "d21c84e0f67aba4c19f7d02e85b3647c90e1f8a2563b9d40c7e2185fa6039b5d"
}

Уведомление о выплате#

Отправляется, когда выплата из кошелька выполнена (SUCCESS) или отклонена (ERROR — причина приходит в дополнительном поле error). Поле event всегда "payout" — по нему отличайте эту доставку от вебхука платежа на том же URL. Подпись sign проверяйте тем же способом, что и у платежей, и отвечайте 200 для подтверждения.

POSThttps://your-site.com/webhook

Параметры тела запроса

Имя	Тип	Описание
event	string	Всегда "payout" для этой доставки.
payoutID	integer	ID выплаты — тот же номер, что показывает Дашборд в разделе «Выплаты».
status	string	SUCCESS — деньги ушли из кошелька; ERROR — выплата отклонена, причина в поле error.
amount	number	Сумма выплаты в валюте выплаты.
currency	string	Код валюты выплаты (например, RUB).
destination	string	Куда ушли деньги, в читаемом виде — название сохранённого реквизита и маскированный номер.
externalId	string	Ваш идентификатор из «Создания выплаты». Приходит только у выплат, созданных через API.

# What Fluxpays sends to your callback URL (the same URL as
# payments — the "event" field tells the deliveries apart):
POST /webhook HTTP/1.1
Host: your-site.com
Content-Type: application/json

# sign = HMAC-SHA256_hex(other fields as sorted compact JSON, SALT)
{"event":"payout","payoutID":1042,"status":"SUCCESS","amount":2500,
 "currency":"RUB","destination":"Основная карта · •••• 9718",
 "sign":"f1a83c05d9427b6e08c1f5a3..."}

Ответ

{
  "event": "payout",
  "payoutID": 1042,
  "status": "SUCCESS",
  "amount": 2500,
  "currency": "RUB",
  "destination": "Основная карта · •••• 9718",
  "sign": "f1a83c05d9427b6e08c1f5a3962d4b7e5019c8d2374a6f0be95d13c8a20f764d"
}

Подпись оповещений#

Fluxpays подписывает каждое оповещение — paid, refund и payout — полем sign. Каноника — полезная нагрузка, сериализованная в компактный JSON с отсортированными по алфавиту ключами верхнего уровня, без поля sign (без пробелов; юникод и слеши не экранируются); HMAC-SHA256 этой строки вашей солью в hex и есть sign. Проверяйте подпись, прежде чем обрабатывать событие: соберите канонику из разобранного тела и сравните хеши за константное время. API-запросы и ответы не подписываются.

Контрольный пример

Данные

{"amount":1000,"email":"[email protected]","type":0}

Соль

example

sign

2a450c52c29d425f834e8c395bcf36fdbcd17a799fe0d9b47f47ea5267eed8a6

Прогоните эти данные и соль через свою реализацию — если sign совпал, ваша каноника корректна байт в байт. Вложенные объекты и массивы сериализуются как есть (порядок их ключей сохраняется); сортируется только верхний уровень.

Как проверить оповещение

const crypto = require("node:crypto");

// canonical = compact JSON of every field except "sign",
// top-level keys sorted; HMAC keyed with your merchant SALT
function verifySign(body, salt) {
  const { sign = "", ...fields } = body;
  const sorted = Object.fromEntries(
    Object.keys(fields).sort().map(k => [k, fields[k]]));
  const expected = crypto.createHmac("sha256", salt)
    .update(JSON.stringify(sorted), "utf8").digest("hex");
  return sign.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(sign), Buffer.from(expected));
}

if (!verifySign(req.body, SALT)) throw new Error("bad signature");

Главная Дашборд @fluxpays

Fluxpays API

Введение​#

Аутентификация​#

Ошибки​#

Платежи​#

Создание платежа​#

Статус платежа​#

Возврат платежа​#

Баланс​#

Получить баланс​#

Выплаты​#

Создание выплаты​#

Статус выплаты​#

Курсы валют​#

Банки СБП​#

Оповещения​#

Уведомление PAID​#

Уведомление о возврате​#

Уведомление о выплате​#

Подпись оповещений​#

Введение#

Аутентификация#

Ошибки#

Платежи#

Создание платежа#

Статус платежа#

Возврат платежа#

Баланс#

Получить баланс#

Выплаты#

Создание выплаты#

Статус выплаты#

Курсы валют#

Банки СБП#

Оповещения#

Уведомление PAID#

Уведомление о возврате#

Уведомление о выплате#

Подпись оповещений#