# Webhook-уведомления

> Получайте обновления статусов платежей и выплат в реальном времени через webhook'и с подписью HMAC.

Система 2328.io отправляет webhook на ваш `url_callback` каждый раз, когда меняется статус платежа. Это рекомендованный способ узнавать об успешных оплатах.

## Формат запроса

- **Метод:** `POST`
- **Content-Type:** `application/json`
- **Подпись:** поле `sign` в теле запроса

## Payload

Тело webhook'а идентично ответу `/v1/payment/info` плюс поле `sign`, которое используется для проверки подписи.

### Успешный платёж

```json
{
  "uuid": "db17d490-15b6-47b9-9015-91d1d8b119f2",
  "order_id": "ORDER-12345",
  "amount": "180.00000000",
  "currency": "RUB",
  "url": "https://go.2328.io/db17d490-15b6-47b9-9015-91d1d8b119f2",
  "expires_at": "2026-05-09T16:56:58+03:00",
  "created_at": "2026-05-09T15:56:58+03:00",
  "payer_currency": "TON",
  "payer_amount": "0.95256917",
  "network": "TON",
  "address": "UQA0RevhkCQx-EltyNgPPeG8dqtnCz7ZslOzMdNQlLxVaNBb",
  "payment_status": "paid",
  "txid": "41c2a327323480af8e705d05deb09c238a41779928832abef4bb77c862357b11",
  "payment_amount": "0.95256917",
  "merchant_amount": "0.949711462490000000",
  "amount_usd": "2.41324380",
  "exchange_rate": "0.01340691",
  "sign": "6f8c15b6e53b506d5bfa38ed3fb3b50697af73434262153c02e412541372f04d"
}
```

### Отменённый или неуспешный платёж

Если платёж не находится в финальном состоянии `paid`, поля `txid`, `payment_amount` и `merchant_amount` равны `null`:

```json
{
  "uuid": "48edaf2d-2c49-4638-8f86-88636f661c1f",
  "order_id": "ORDER-12345",
  "amount": "2800.00000000",
  "currency": "RUB",
  "url": "https://go.2328.io/48edaf2d-2c49-4638-8f86-88636f661c1f",
  "expires_at": "2026-05-09T06:19:04+03:00",
  "created_at": "2026-05-09T05:19:04+03:00",
  "payer_currency": "ETH",
  "payer_amount": "0.01620968",
  "network": "ETH-ERC20",
  "address": "0x37c20d6d96d130Bc5B33D832e43b8e16aACe0c59",
  "payment_status": "cancel",
  "txid": null,
  "payment_amount": null,
  "merchant_amount": null,
  "amount_usd": "37.53934800",
  "exchange_rate": "0.01340691",
  "sign": "40ce68ad9691ad54e684329d75ab5adaf5b01409a2d18d3e0110b8c1be605342"
}
```

### Описание полей

| Поле | Тип | Описание |
|-------|------|-------------|
| `uuid` | string | UUID платежа |
| `order_id` | string | Ваш ID заказа |
| `amount` | decimal (8 знаков) | Сумма в фиате `currency` |
| `currency` | string | Фиатная валюта, в которой мерчант создал счёт |
| `url` | string | URL хостед-чекаута |
| `expires_at` | string (ISO 8601) | Когда истекает платёжная сессия |
| `created_at` | string (ISO 8601) | Когда была создана платёжная сессия |
| `payer_currency` | string | Криптовалюта, которой платит плательщик |
| `payer_amount` | decimal (8 знаков) | Ожидаемая сумма в крипте |
| `network` | string | Блокчейн-сеть |
| `address` | string | Адрес депозита |
| `payment_status` | string | Одно из: `pending`, `check`, `paid`, `underpaid_check`, `underpaid`, `overpaid`, `cancel`, `aml_lock` (см. [References](/docs/references)) |
| `txid` | string \| null | Хеш транзакции в блокчейне, появляется только после подтверждения оплаты |
| `payment_amount` | decimal \| null | Фактически оплаченная сумма, появляется только после оплаты |
| `merchant_amount` | decimal (18 знаков) \| null | Сумма, зачисленная мерчанту после комиссий |
| `amount_usd` | decimal (8 знаков) | Сумма в USD на момент создания |
| `exchange_rate` | decimal | Использованный курс крипто / фиат |
| `sign` | string (hex) | Подпись HMAC-SHA256 payload'а |

## Проверка подписи

Чтобы проверить подпись webhook'а:

1. Извлеките поле `sign` из payload'а
2. Удалите поле `sign` из объекта
3. Закодируйте оставшиеся поля как JSON
4. Закодируйте JSON в Base64
5. Рассчитайте HMAC-SHA256 от строки Base64 с использованием API_KEY
6. Сравните полученную подпись со значением `sign` функцией постоянного времени

<CodeSnippet name="verifyWebhookSign" langs="php,js,python,go,ruby" />

> **DANGER:** **Всегда проверяйте подпись** перед зачислением средств пользователю. Webhook без подписи или с неверной подписью может быть подделкой.

## Webhook'и выплат

При смене `status` выплаты система отправляет `POST` webhook на URL `url_callback`, переданный при создании выплаты. Если `url_callback` не был указан, webhook'и для этой выплаты не отправляются.

> **WARNING:** Webhook'и выплат должны проверяться **Payout API key**, а не обычным API key. Алгоритм подписи идентичен webhook'ам платежей (удалить `sign`, JSON-кодирование, base64, HMAC-SHA256), отличается только ключ.

### Payload

```json
{
  "uuid": "019dff1f-0dbd-7277-8d45-271e7775388f",
  "order_id": "4dfdcc84402b1185b71cbe399321533e",
  "status": "completed",
  "currency": "TRX",
  "network": "TRX-TRC20",
  "amount": "3.00",
  "merchant_amount": "3.00",
  "network_amount": "3.00",
  "amount_usd": "1.04",
  "to_address": "THauRv5tcucQRohXg8NiyGTk16DX1XQG5x",
  "memo": null,
  "txid": "9242e533703704ef3eaba840f70b4a26333e72c943377ee375fea17badb53def",
  "block_number": null,
  "error_type": null,
  "created_at": "2026-05-07T00:08:38+03:00",
  "updated_at": "2026-05-07T00:08:54+03:00",
  "from_currency": "USDT",
  "debited_amount": "1.050735",
  "debited_currency": "USDT",
  "sign": "925ad7bf3d6841864101f7cc2c7e30652e70a06cdb04dbe07a0129480000ce4a"
}
```

### Описание полей

| Поле | Тип | Описание |
|-------|------|-------------|
| `uuid` | string | UUID выплаты |
| `order_id` | string | Ваш ID идемпотентности / референс, если был передан |
| `status` | string | `pending`, `completed`, `failed`, `cancelled` (см. [References](/docs/references)) |
| `currency` | string | Валюта вывода |
| `network` | string | Блокчейн-сеть |
| `amount` | decimal | Сумма вывода (в `currency`) |
| `merchant_amount` | decimal | Сумма, списанная с баланса мерчанта |
| `network_amount` | decimal | Сумма, фактически отправленная в сеть |
| `amount_usd` | decimal | Стоимость в USD на момент выплаты |
| `to_address` | string | Блокчейн-адрес получателя |
| `memo` | string \| null | Memo / destination tag, если использовался |
| `txid` | string \| null | Хеш транзакции в блокчейне, заполняется при `completed` |
| `block_number` | integer \| null | Высота блока on-chain транзакции |
| `error_type` | string \| null | Причина при `status = failed` (например, `aml_risk`, см. [References](/docs/references)) |
| `created_at` | string (ISO 8601) | Когда была создана выплата |
| `updated_at` | string (ISO 8601) | Когда статус последний раз менялся |
| `from_currency` | string | Исходный баланс, с которого было списание при авто-конвертации (например, `USDT` для выплаты в `BTC`) |
| `debited_amount` | decimal | Сумма, списанная с баланса `from_currency` |
| `debited_currency` | string | Валюта списания |
| `sign` | string (hex) | Подпись HMAC-SHA256 payload'а, рассчитанная **Payout API key** |

## Лучшие практики

- **Идемпотентность** — всегда проверяйте, не был ли платёж уже обработан (по `order_id` или `uuid`). Webhook'и могут приходить несколько раз.
- **Быстрый ответ** — возвращайте HTTP 200 как можно быстрее. Тяжёлую работу выносите в фоновую очередь.
- **Повторы** — если система не получит HTTP 200, webhook отправляется повторно через 2 минуты. Максимум 5 попыток повтора.
- **Асинхронная обработка** — обрабатывайте события webhook'ов асинхронно, чтобы не блокировать ответ.
- **Безопасность** — ВСЕГДА проверяйте подпись `sign`, прежде чем доверять payload'у.

> **WARNING:** Webhook'и могут приходить не по порядку. Не считайте, что первый полученный webhook отражает финальное состояние — при необходимости перепроверяйте через `/v1/payment/info` (или `/v1/payout/status/{uuid}`).