การแจ้งเตือน Webhook

ระบบ 2328.io ส่ง Webhook ไปยัง url_callback ของคุณทุกครั้งที่สถานะการชำระเงินเปลี่ยน นี่คือวิธีที่แนะนำในการรับแจ้งเตือนเกี่ยวกับการชำระเงินที่สำเร็จ

รูปแบบของคำขอ

• Method: POST
• Content-Type: application/json
• Signature: ฟิลด์ sign ใน body ของคำขอ

Payload

body ของ Webhook ใช้รูปแบบเดียวกับการตอบกลับ /v1/payment/info และเพิ่ม tx_explorer_url พร้อมฟิลด์ sign สำหรับตรวจสอบลายเซ็น

การชำระเงินที่สำเร็จ

{
  "uuid": "db17d490-15b6-47b9-9015-91d1d8b119f2",
  "order_id": "ORDER-12345",
  "amount": "180.00000000",
  "currency": "RUB",
  "url": "https://go.2328.io/db17d490-15b6-47b9-9015-91d1d8b119f2",
  "expires_at": "2026-05-09T16:56:58+03:00",
  "created_at": "2026-05-09T15:56:58+03:00",
  "payer_currency": "TON",
  "payer_amount": "0.95256917",
  "network": "TON",
  "address": "UQA0RevhkCQx-EltyNgPPeG8dqtnCz7ZslOzMdNQlLxVaNBb",
  "payment_status": "paid",
  "txid": "41c2a327323480af8e705d05deb09c238a41779928832abef4bb77c862357b11",
  "tx_explorer_url": "https://tonviewer.com/transaction/41c2a327323480af8e705d05deb09c238a41779928832abef4bb77c862357b11",
  "payment_amount": "0.95256917",
  "merchant_amount": "0.949711462490000000",
  "amount_usd": "2.41324380",
  "exchange_rate": "0.01340691",
  "sign": "6f8c15b6e53b506d5bfa38ed3fb3b50697af73434262153c02e412541372f04d"
}

การชำระเงินที่ยกเลิก / ล้มเหลว

เมื่อการชำระเงินไม่ได้อยู่ในสถานะสุดท้าย paid ฟิลด์ txid, payment_amount และ merchant_amount จะเป็น null:

{
  "uuid": "48edaf2d-2c49-4638-8f86-88636f661c1f",
  "order_id": "ORDER-12345",
  "amount": "2800.00000000",
  "currency": "RUB",
  "url": "https://go.2328.io/48edaf2d-2c49-4638-8f86-88636f661c1f",
  "expires_at": "2026-05-09T06:19:04+03:00",
  "created_at": "2026-05-09T05:19:04+03:00",
  "payer_currency": "ETH",
  "payer_amount": "0.01620968",
  "network": "ETH-ERC20",
  "address": "0x37c20d6d96d130Bc5B33D832e43b8e16aACe0c59",
  "payment_status": "cancel",
  "txid": null,
  "tx_explorer_url": null,
  "payment_amount": null,
  "merchant_amount": null,
  "amount_usd": "37.53934800",
  "exchange_rate": "0.01340691",
  "sign": "40ce68ad9691ad54e684329d75ab5adaf5b01409a2d18d3e0110b8c1be605342"
}

อ้างอิงฟิลด์

การตรวจสอบลายเซ็น

ขั้นตอนการตรวจสอบลายเซ็น Webhook:

1. ดึงฟิลด์ sign ออกจาก payload
2. ลบฟิลด์ sign ออกจากออบเจกต์
3. เข้ารหัสฟิลด์ที่เหลือเป็น JSON
4. เข้ารหัส JSON เป็น Base64
5. คำนวณ HMAC-SHA256 จากสตริง Base64 โดยใช้ API_KEY ของคุณ
6. เปรียบเทียบลายเซ็นที่คำนวณได้กับค่า sign ด้วยการเปรียบเทียบแบบ constant-time

<?php
function verifyWebhookSign(array $data, string $apiKey): bool {
    $receivedSign = $data['sign'] ?? '';
    unset($data['sign']);

    $json = json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);
    $base64 = base64_encode($json);
    $calculated = hash_hmac('sha256', $base64, $apiKey);

    return hash_equals($calculated, $receivedSign);
}

$apiKey = 'YOUR_API_KEY';
$payload = json_decode(file_get_contents('php://input'), true);

if (!verifyWebhookSign($payload, $apiKey)) {
    http_response_code(401);
    exit;
}

switch ($payload['payment_status']) {
    case 'paid':
    case 'overpaid':
        // Credit the order — check idempotency by order_id first
        break;
    case 'underpaid_check':
    case 'underpaid':
    case 'cancel':
        break;
}

http_response_code(200);

import crypto from "crypto";
import express from "express";

const app = express();
app.use(express.json());

function verifyWebhookSign(payload, apiKey) {
  const { sign, ...rest } = payload;
  const json = JSON.stringify(rest);
  const base64 = Buffer.from(json).toString("base64");
  const calculated = crypto
    .createHmac("sha256", apiKey)
    .update(base64)
    .digest("hex");
  return crypto.timingSafeEqual(
    Buffer.from(calculated),
    Buffer.from(sign || ""),
  );
}

app.post("/webhook", (req, res) => {
  if (!verifyWebhookSign(req.body, process.env.API_KEY)) {
    return res.sendStatus(401);
  }

  const { order_id, payment_status, txid } = req.body;

  if (payment_status === "paid" || payment_status === "overpaid") {
    // Credit the order — check idempotency by order_id first
  }

  res.sendStatus(200);
});

import json
import hmac
import hashlib
import base64
from fastapi import FastAPI, Request, HTTPException

app = FastAPI()
API_KEY = "YOUR_API_KEY"

def verify_webhook_sign(payload: dict, api_key: str) -> bool:
    received = payload.pop("sign", "")
    body = json.dumps(payload, separators=(",", ":"), ensure_ascii=False)
    b64 = base64.b64encode(body.encode("utf-8")).decode()
    calculated = hmac.new(api_key.encode(), b64.encode(), hashlib.sha256).hexdigest()
    return hmac.compare_digest(calculated, received)

@app.post("/webhook")
async def webhook(request: Request):
    payload = await request.json()
    if not verify_webhook_sign(payload, API_KEY):
        raise HTTPException(401)

    if payload["payment_status"] in ("paid", "overpaid"):
        # Credit the order — check idempotency by order_id first
        pass

    return {"ok": True}

package main

import (
    "bytes"
    "crypto/hmac"
    "crypto/sha256"
    "encoding/base64"
    "encoding/hex"
    "encoding/json"
    "io"
    "net/http"
)

func verifyWebhookSign(body []byte, apiKey string) (map[string]any, bool) {
    var payload map[string]any
    if err := json.Unmarshal(body, &payload); err != nil {
        return nil, false
    }
    received, _ := payload["sign"].(string)
    delete(payload, "sign")

    var buf bytes.Buffer
    enc := json.NewEncoder(&buf)
    enc.SetEscapeHTML(false)
    enc.Encode(payload)
    reencoded := bytes.TrimRight(buf.Bytes(), "\n")

    b64 := base64.StdEncoding.EncodeToString(reencoded)
    h := hmac.New(sha256.New, []byte(apiKey))
    h.Write([]byte(b64))
    calculated := hex.EncodeToString(h.Sum(nil))

    return payload, hmac.Equal([]byte(calculated), []byte(received))
}

func webhookHandler(w http.ResponseWriter, r *http.Request) {
    body, _ := io.ReadAll(r.Body)
    payload, ok := verifyWebhookSign(body, apiKey)
    if !ok {
        http.Error(w, "invalid signature", http.StatusUnauthorized)
        return
    }

    status, _ := payload["payment_status"].(string)
    if status == "paid" || status == "overpaid" {
        // Credit the order — check idempotency first
    }
    w.WriteHeader(http.StatusOK)
}

require "json"
require "openssl"
require "base64"
require "sinatra"

API_KEY = "YOUR_API_KEY"

def verify_webhook_sign(payload, api_key)
  received = payload.delete("sign") || ""
  body = payload.to_json
  b64 = Base64.strict_encode64(body)
  calculated = OpenSSL::HMAC.hexdigest("SHA256", api_key, b64)
  OpenSSL.fixed_length_secure_compare(calculated, received)
end

post "/webhook" do
  payload = JSON.parse(request.body.read)
  halt 401 unless verify_webhook_sign(payload, API_KEY)

  if %w[paid overpaid].include?(payload["payment_status"])
    # Credit the order — check idempotency by order_id first
  end

  status 200
end

Webhook ของการถอน

เมื่อ status ของการถอนเปลี่ยน ระบบจะส่ง Webhook แบบ POST ไปยัง URL url_callback ที่ระบุตอนสร้างการถอน หากไม่ได้ระบุ url_callback จะไม่มีการส่ง Webhook สำหรับการถอนนั้น

Payload

{
  "uuid": "019dff1f-0dbd-7277-8d45-271e7775388f",
  "order_id": "4dfdcc84402b1185b71cbe399321533e",
  "status": "completed",
  "currency": "TRX",
  "network": "TRX-TRC20",
  "amount": "3.00",
  "merchant_amount": "3.00",
  "network_amount": "3.00",
  "amount_usd": "1.04",
  "to_address": "THauRv5tcucQRohXg8NiyGTk16DX1XQG5x",
  "memo": null,
  "txid": "9242e533703704ef3eaba840f70b4a26333e72c943377ee375fea17badb53def",
  "tx_explorer_url": "https://tronscan.org/#/transaction/9242e533703704ef3eaba840f70b4a26333e72c943377ee375fea17badb53def",
  "block_number": null,
  "error_type": null,
  "created_at": "2026-05-07T00:08:38+03:00",
  "updated_at": "2026-05-07T00:08:54+03:00",
  "from_currency": "USDT",
  "debited_amount": "1.050735",
  "debited_currency": "USDT",
  "sign": "925ad7bf3d6841864101f7cc2c7e30652e70a06cdb04dbe07a0129480000ce4a"
}

อ้างอิงฟิลด์

แนวปฏิบัติที่ดี

• Idempotency — ตรวจสอบว่าการชำระเงินถูกประมวลผลแล้วหรือไม่ (ด้วย order_id หรือ uuid) เสมอ Webhook อาจมาถึงหลายครั้ง
• ตอบกลับเร็ว — คืน HTTP 200 ให้เร็วที่สุดเท่าที่จะทำได้ ย้ายงานหนักไปยังคิวเบื้องหลัง
• การลองใหม่ — หากระบบไม่ได้รับ HTTP 200 Webhook จะถูกส่งใหม่หลัง 2 นาที สูงสุด 5 ครั้ง
• การประมวลผลแบบ async — จัดการอีเวนต์ Webhook แบบ asynchronous เพื่อไม่ให้บล็อกการตอบกลับ
• ความปลอดภัย — ตรวจสอบลายเซ็น sign เสมอก่อนเชื่อ payload

สัญญาการจัดส่งและการประมวลผล

ใช้คำสั่งต่อไปนี้ภายในเว็บฮุกเอนด์พอยน์ของคุณ:

1. อ่านเนื้อหาของคำขอโดยไม่บันทึกรหัสลับหรือรหัสลับเต็ม.
2. ระบุว่ามันเป็นเหตุการณ์การชำระเงิน/กระเป๋าสติกเกอร์แบบคงที่หรือเหตุการณ์การจ่ายเงินเพื่อเลือกคีย์ API ที่ถูกต้อง.
3. ลบ sign, ทำซ้ำไบต์ JSON ที่ได้บันทึกไว้, คำนวณ HMAC-SHA256, และเปรียบเทียบในเวลาคงที่.
4. ตรวจสอบตัวระบุที่จำเป็น, สตริงทศนิยม, และค่าของสถานะ.
5. แทรกบันทึกกล่องจดหมาย/ความไม่ซ้ำกันแบบอะตอม หากมันมีอยู่แล้ว ให้ส่งคืน HTTP 200 โดยไม่ทำผลข้างเคียงซ้ำ.
6. ยืนยันการเปลี่ยนแปลงคำสั่งซื้อ/บัญชีและวางอีเมล, การวิเคราะห์ หรือการแจ้งเตือนที่ไม่สำคัญไว้ในคิว
7. ส่ง HTTP 200 กลับอย่างรวดเร็ว

อย่าเรียกใช้บริการภายนอกที่ช้าในขณะที่ยังถือธุรกรรมแบบ idempotency เวลา timeout หลังจากที่คุณยืนยันแต่ก่อนส่งกลับอาจทำให้เกิดการลองใหม่; สำเนาต้องสังเกตรหัส inbox ที่ยืนยันแล้วและทำให้เป็น no-op

รหัส idempotency ที่แนะนำ

หากสคีมาของคุณไม่มีรหัสเหตุการณ์ ให้เก็บแฮช payload ที่ได้รับการยืนยันเป็นหลักฐานตรวจสอบเพิ่มเติม แต่ไม่แทนที่ตัวตนทางธุรกิจด้านบนด้วยเวลาประทับ

การสั่งซื้อและการทำบัญชีให้ตรงกัน

การจัดส่งเป็นแบบอย่างน้อยหนึ่งครั้งและข้อความสถานะอาจเกิดการแข่งกัน ประยุกต์ใช้กฎธุรกิจแบบโมโนโทนิกแทนที่จะใช้ “คำขอล่าสุดชนะ”:

• อย่าย้ายคำสั่งซื้อที่เสร็จสมบูรณ์กลับไปที่ check เพราะเหตุการณ์เก่าเข้ามาช้ากว่า;
• อนุญาตให้ underpaid_check รับ txids เพิ่มเติมโดยไม่ทำซ้ำเครดิตก่อนหน้า;
• พิจารณา paid และ overpaid เป็นสถานะการชำระเงินสำเร็จ ในขณะที่รักษาจำนวนเงินที่แตกต่างกันไว้;
• เก็บ underpaid เป็นผลลัพธ์การชำระเงินบางส่วนสุดท้าย เว้นแต่ API ที่มีอำนาจตัดสินจะรายงานสถานะอื่นในภายหลัง;
• ส่ง aml_lock ไปตรวจสอบและไม่ให้พนักงาน retry ทั่วไปดำเนินการให้เสร็จ;
• สอบถามข้อมูลการชำระเงิน/การจ่ายเงินเมื่อใดก็ตามที่การเปลี่ยนสถานะเป็นไปไม่ได้ ขาดบริบท หรือไม่ชัดเจนทางการเงิน

รันการกระทบยอดตามกำหนดแม้ว่าการส่ง webhook จะดูเป็นปกติ เปรียบเทียบสถานะของเทอร์มินัลท้องถิ่นและจำนวนเงินที่ได้รับเครดิตกับ /v1/payment/info, /v1/static-wallet/transactions หรือ /v1/payout/status/{uuid} และแจ้งเตือนเมื่อเกิดความแตกต่างแทนการเขียนทับประวัติสมุดบัญชีโดยเงียบ ๆ

ความปลอดภัยของจุดเชื่อมต่อ Webhook

• ต้องใช้ HTTPS และทำให้ callback สามารถเข้าถึงได้สาธารณะ; เป้าหมาย callback แบบส่วนตัว/loopback จะถูกปฏิเสธในระหว่างการสร้างการชำระเงิน
• บังคับขีดจำกัดขนาดร่างคำขอเล็ก ๆ และประเภทเนื้อหาเป็น JSON
• จำกัดอัตราก่อนการทำงานที่มีค่าใช้จ่ายสูง แต่ให้พื้นที่เพียงพอสำหรับการเพิ่มขึ้นและการลองใหม่ที่ถูกต้อง
• อย่าอนุญาตเว็บฮุคเพียงแค่จากที่อยู่ IP ของแหล่งที่มาเท่านั้น รายการอนุญาตเครือข่ายเป็นการป้องกันเชิงลึก; การตรวจสอบ HMAC เป็นสิ่งจำเป็น
• ลบ sign, คีย์ API, ที่อยู่เมื่อจำเป็นตามนโยบาย และข้อมูลส่วนบุคคลจากล็อกแอปพลิเคชัน
• เก็บคีย์ปัจจุบันและคีย์ที่กำหนดเปลี่ยนอย่างชัดเจนไว้ใช้งานในช่วงเวลาการหมุนเวียนที่ควบคุม; อย่าทายว่าคีย์ใดเป็นผู้ลงนามเหตุการณ์
• ส่งร่างข้อความผิดพลาดทั่วไปเมื่อมีลายเซ็นไม่ถูกต้องเพื่อไม่ให้จุดสิ้นสุดกลายเป็นแหล่งข้อมูลคีย์หรือบัญชี