Чек-лист запуска

Безопасность

• Секрет API-ключа только на сервере (секрет-менеджер или переменная окружения), не в git, не в приложении и не в браузере.
• Для продакшена выпущен отдельный ключ; ключи песочницы на продакшене не используются.
• Вебхук: https://, публичный адрес, порт 443; подпись проверяется по сырому телу; окно времени — 5 минут.
• Заказ выдаётся только по статусу paid или overpaid из GET /v1/invoices/{id}, а не по вебхуку и не по return_url.
• Выдача идемпотентна: повтор вебхука не выдаёт заказ второй раз.
• Счета и события с livemode: false отвергаются.
• Часы сервера синхронизированы (NTP).

Надёжность

• Каждый POST /v1/invoices — с Idempotency-Key от номера заказа; повтор при сетевой ошибке — с тем же ключом.
• Обработчик вебхука отвечает за 10 секунд, тяжёлая работа — в очереди.
• Есть резервная сверка: заказы в ожидании дольше N минут перепроверяются через GET /v1/invoices/{id}.
• Обработаны underpaid, expired, late_payment, manual_review и invoice.reorged.

Покупатель

• На странице заказа понятно: ждём оплату, оплачено, недоплата, срок истёк.
• Есть ссылка «Перейти к оплате» на checkout_url, пока счёт действует.
• Мобильное приложение открывает оплату в системном браузере, return_url — универсальная ссылка.
• Учтены правила App Store и Google Play для цифровых товаров.

Проверено в песочнице

• Точная оплата, недоплата с доплатой, переплата, две половины.
• Истёкший счёт: новый счёт для того же заказа.
• Поддельный и устаревший вебхук отклоняются; повтор не дублирует выдачу.
• Ротация секрета вебхука и смена API-ключа без простоя.