Справка

После успешной оплаты можно перенаправить клиента на внешнюю ссылку или изменить страницу успеха Allpay, которую увидит клиент.

Настройка

В секции <span class="u-richtext-element">Дополнительно</span> активируйте блок «Своя страница после оплаты» и выберите одну из следующих опций:

1. Перенаправлять по ссылке
   Сразу после оплаты клиент будет перенаправлен на указанный URL.
2. Мое сообщение и кнопка
   Вы сможете задать свои заголовок и текст, который будет отображены клиенту после оплаты. А также разместить кнопку и указать URL, на который клиент будет направлен при ее нажатии.
   

Для платежей по API

Эта настройка не распространяется на платежи, поступающие по API, то есть со сторонних сайтов. Используйте документацию API.

Изменить тип бизнеса можно в разделе <span class="u-richtext-element">Настройки</span> → <span class="u-richtext-element">Компания</span>.

НДС

При переходе со статуса «эсек патур» на «эсек мурше» к платежам добавляется НДС.

Для всех ранее созданных платежных ссылок будет автоматически установлен НДС 18% в режиме «НДС включён». Итоговая сумма платежа при этом не изменится.

Это касается в том числе платежей по активным подпискам.

При переходе с «эсек мурше» на «эсек патур» НДС будет удалён из платежных ссылок:

• если ссылка работала в режиме «НДС включён», итоговая сумма платежа не изменится;
• если был выбран режим «НДС сверху», при котором НДС прибавлялся к указанной сумме, итоговая сумма платежа уменьшится на размер НДС.

Документы

Для «эсек мурше» вместо просто квитанции (קבלה) будет создаваться налоговая квитанция — хэшбонит мас/кабала (חשבונית מס/קבלה).

Если вы используете интеграцию с внешним бухгалтерским сервисом, например Morning или EasyCount, не забудьте также изменить тип бизнеса в настройках этого сервиса. В противном случае документ по платежу может не создаться.

‍

В разделе Настройка --> Команда можно добавить пользователей. который получат доступ к вашему аккаунту Allpay.

Эта функция в разработке и пока недоступна. О появлении будет объявлено в Телеграм-канале.

Каждый пользователь в системе Allpay имеет уникальный телефон, е-мейл и ник Telegram. Невозможно привязать один и тот же Telegram, email или телефон к разным пользователям.

В настоящее время каждый пользователь раздела Команда получает полный доступ к системе. Разделение прав будет введено позже.

Вход в систему возможен только по подтвержденному контакту.

Добавление пользователей

В настоящее время добавить нового пользователя можно обратившись в поддержку Allpay.

Пришлите имя, контакт и название позиции в команде.

Эта статья объясняет, как настроить получение webhook-уведомлений о платежах.

Для платежей, инициированных через API, Allpay по умолчанию отправляет webhook в ответ на API-запрос. Дополнительная настройка для этого не требуется.

Настройка, описанная ниже, нужна в двух случаях: если вы хотите получать webhook-уведомления о платежах, созданных не через API, а через платежные ссылки, либо если вам необходимо указать дополнительный URL для отправки webhook-уведомлений в рамках API-интеграции.

Что такое webhook

Webhook — это автоматическое уведомление о событии, отправляемое системой Allpay на внешний URL.

Когда происходит успешный платёж, Allpay направляет POST-запрос на указанный адрес. Запрос содержит всю информацию о платеже, включая имя покупателя, предмет платежа и сумму.

Разработчики и интеграторы используют webhook для:

• автоматического запуска процессов (например, активации заказа или отправки письма покупателю),
• синхронизации данных между разными системами,
• исключения необходимости ручной проверки статуса платежа.

Типы событий

Allpay посылает webhook для двух событий — успешный платёж и возврат платежа.

Для подписок webhook автоматически отправляется каждый месяц после успешного регулярного списания.

Где настроить webhook

Webhook настраивается отдельно для каждой платёжной ссылки или API-интеграции:

1. Платёжная ссылка — в её настройках. В этом случае webhook будет отправляться при каждом платеже по этой ссылке.
2. API-интеграция — в настройках конкретной интеграции в разделе <span class="u-richtext-element">Интеграции по API</span>. Это позволит получать webhook по всем платежам, прошедшим через данную интеграцию. Например, с вашим сайтом на Tilda, WordPress или другой платформой.

В Allpay нет централизованной настройки webhook для всех платежей — это сделано для гибкого управления уведомлениями по различным каналам.

Содержимое webhook-запроса

Allpay отправляет POST-запрос на указанный URL. Тело запроса — это JSON-объект с параметрами, относящимися к событию.

Примера запроса

POST /c96zv6ri852dvppncccdg6fxkjnpwojg HTTP/2
Host: hook.eu2.make.com
accept: */*
content-type:application/json
content-length: 453

{
    "name": "Consultation",
    "items": [
        {
            "name": "Consultation",
            "price": 150,
            "qty": 2,
            "vat": "1"
        },
        {
            "name": "Clock",
            "price": 50,
            "qty": 1,
            "vat": "1"
        }
    ],
    "amount": "350",
    "status": 1,
    "client_name": "Tanur Mikrogalov",
    "client_email": "test@email.com",
    "client_tehudat": "123456789",
    "client_phone": "+972 58 569 8877",
    "foreign_card": "0",
    "card_mask": "455743******3431",
    "card_brand": "visa",
    "receipt": "",
    "inst": 1,
    "sign": "83f6fab69f7b237ee2db5d9993b84b5fe89ef722af6206a0ffe64480501f3784"
}

‍

Каждый платёж, по которому отправлен webhook, получает соответствующую метку на главном экране платежей. Нажав на неё, можно просмотреть содержимое запроса.

Параметр add_field

Если в URL платёжной ссылки добавить <span class="u-richtext-element">?add_field=any-string</span>, этот параметр будет включён в тело запроса Webhook. Подробнее.

Безопасность webhook

Можно использовать два способа проверки достоверности webhook-запросов:

1. Проверка с помощью webhook secret key.
2. Проверка IP-адреса отправителя.

Проверка с помощью Webhook secret key

Для этого используется HMAC-подпись, основанная на алгоритме SHA256.

Алгоритм генерации подписи:

1. Удалите параметр <span class="u-richtext-element">sign</span> из запроса.
2. Исключите параметры с пустыми значениями.
3. Отсортируйте оставшиеся ключи по алфавиту.
4. Из полученного списка возьмите значения параметров и объедините их в строку через символ «двоеточие» (:).
5. Добавьте в конец строки через «двоеточие» ваш Webhook secret key.
6. Примените к полученной строке алгоритм SHA256.
7. Сравните результат с параметром <span class="u-richtext-element">sign</span>, переданным в запросе.

Платформы Make и Zapier позволяют реализовать такую проверку с помощью встроенных инструментов (например, скрипта в Code by Zapier).

Пример JavaScript для Zapier

const webhookKey = "YOUR WEBHOOK SECRET KEY";

// Parse the input params from JSON string to an object
const params = JSON.parse(inputData.params || '{}');

// Store the original signature from the request
const requestSignature = params.sign || null;

// Remove the 'sign' parameter before calculating the signature
delete params.sign;

function getApiSignature(params, webhookKey) {
    // Filter out empty values and sort keys alphabetically
    const sortedKeys = Object.keys(params)
        .filter((key) => {
            const value = params[key];
            return value !== null && value !== undefined && String(value).trim() !== '';
        })
        .sort();

    // Collect the values in sorted key order, process nested arrays (like "items")
    const chunks = [];
    sortedKeys.forEach(key => {
        const value = params[key];
        if (Array.isArray(value)) {
            value.forEach(item => {
                if (typeof item === 'object' && item !== null) {
                    Object.keys(item).sort().forEach(subKey => {
                        const val = item[subKey];
                        if (val !== null && val !== undefined && String(val).trim() !== '') {
                            chunks.push(String(val).trim());
                        }
                    });
                }
            });
        } else {
            chunks.push(String(value).trim());
        }
    });

    // Build the string to hash
    const baseString = chunks.join(':') + ':' + webhookKey;

    // Generate SHA256 hash
    const crypto = require('crypto');
    const hash = crypto.createHash('sha256').update(baseString).digest('hex');

    return { baseString, verifiedSignature: hash };
}

// Generate the signature
const result = getApiSignature(params, webhookKey);

// Return the original and calculated values
output = {
    requestSignature: requestSignature,
    baseString: result.baseString,
    verifiedSignature: result.verifiedSignature
};

‍

Пример проверки подписи в Zapier

‍

Проверка по IP-адресу

Более простой, но менее надежный способ — это проверять, что запрос поступил с IP-адреса сервера Allpay. IP-адрес можно запросить, обратившись в поддержку.

Повторные попытки доставки webhook

Ваш сервер должен вернуть HTTP-ответ с кодом <span class="u-richtext-element">200 OK</span>, чтобы подтвердить успешное получение webhook-запроса. Если возвращается любой другой статус, либо запрос не был доставлен из-за таймаута или сетевой ошибки, Allpay автоматически выполнит повторные попытки доставки.

Всего выполняется до 10 попыток доставки. Первая повторная попытка осуществляется через 1 минуту после неудачной отправки. Далее интервалы между попытками постепенно увеличиваются, при этом последняя попытка выполняется в течение 24 часов с момента исходного запроса.

Если все попытки доставки завершились неудачно, webhook считается недоставленным, и дальнейшие попытки выполняться не будут.

Разработчики платформ, которым требуется платежное решение, могут интегрироваться с Allpay.

Эта модель подходит платформам, которые хотят добавить Allpay как платежный метод и быть представлены в каталоге интеграций Allpay. Она не предполагает партнерских выплат и строится на взаимном продвижении (другие модели партнерства).

Такая интеграция станет доступна клиентам Allpay как готовый способ подключения вашей платформы.

Требования

Чтобы ваша платформа была добавлена в каталог интеграций Allpay, должны быть соблюдены следующие условия:

1. Вы не участвуете в партнерской или реферальной программе Allpay.
   ‍Такая интеграция строится на принципе взаимного продвижения.
2. Интеграция должна быть предварительно согласована с Allpay.
   ‍Ваша платформа должна быть востребована в Израиле и уже использоваться реальными клиентами.
3. Вы готовы поддерживать интеграцию на постоянной основе.
   Вы обеспечиваете работоспособность интеграции и клиентскую поддержку со своей стороны.

Как начать

Чтобы согласовать интеграцию вашей платформы, напишите в поддержку Allpay и кратко опишите:

• вашу платформу;
• кто ваши клиенты;
• как именно вы хотите использовать платежи Allpay;
• какой способ интеграции планируете: ручной или автоматизированный;
• есть ли уже клиенты, которым требуется такая интеграция.

Способы интеграции

Интеграция с Allpay может быть реализована двумя способами:

• ручная интеграция;
• автоматизированная интеграция.

Ручная интеграция

При ручной интеграции вы реализуете подключение на своей стороне и размещаете на своем сайте инструкцию для клиентов.

Клиенту потребуется:

1. Открыть раздел интеграций в кабинете Allpay.
2. Создать API-ключи.
3. Скопировать ключи и вставить в настройках вашей платформы.

Техническое участие Allpay для такой интеграции обычно не требуется. После реализации пришлите нам информацию о вашей платформе и ссылку на инструкцию по подключению Allpay на вашем сайте.

После проверки с согласования ваша платформа будет добавлена в каталог интеграций Allpay.

Автоматизированная интеграция

Автоматизированная интеграция позволяет подключить платформу без ручного копирования API-ключей. Пользователь нажимает кнопку подключения в кабинете Allpay, подтверждает связку на стороне вашей платформы, а API-ключи передаются автоматически.

Перед началом реализации Allpay выдает вашей платформе:

<span class="u-richtext-element">partner_id</span> — индивидуальный номер интеграции;

<span class="u-richtext-element">secret_key</span> — секретный ключ для подписи и проверки серверных запросов.

<span class="u-richtext-counter">1</span>Переход из Allpay на страницу вашей платформы

Пользователь открывает в кабинете Allpay раздел<span class="u-richtext-element">Настройки</span> → <span class="u-richtext-element"> Интеграции</span> → <span class="u-richtext-element"> Ваша платформа</span> и нажимает кнопку подключения.

Allpay генерирует одноразовый токен для связки аккаунтов и перенаправляет пользователя на страницу подтверждения на стороне вашей платформы, например:

https://your-platform.com/connect?token=TOKEN

Где <span class="u-richtext-element">TOKEN</span> — одноразовый токен, созданный Allpay.

Стандартный срок действия токена — 1 час.

<span class="u-richtext-counter">2</span>Подтверждение подключения на стороне вашей платформы

На вашей стороне пользователь подтверждает подключение под своим аккаунтом.

После подтверждения ваша платформа перенаправляет пользователя обратно на универсальный endpoint Allpay:

https://allpay.to/services/endpoints/exchange.php?act=connect&partner_id=PARTNER_ID&token=TOKEN&external_uid=USER_ID

Где:

<span class="u-richtext-element">act=connect</span> — действие подключения интеграции;

<span class="u-richtext-element">partner_id</span> — индивидуальный номер интеграции;

<span class="u-richtext-element">token</span> — одноразовый токен, созданный Allpay;

<span class="u-richtext-element">external_uid</span> — внутренний идентификатор пользователя на вашей платформе.

<span class="u-richtext-counter">3</span>Создание и передача API-ключей на вашу платформу

После проверки токена Allpay связывает пользователя Allpay с пользователем вашей платформы, создает или находит API-ключи <span class="u-richtext-element">api_login</span> и <span class="u-richtext-element">api_key</span>, а затем отправляет их на ваш endpoint.

Пример endpoint на стороне вашей платформы:

POST https://your-platform.com/allpay/partner/exchange

Тело запроса:

{  
  "external_uid": "USER_ID",  
  "api_login": "API_LOGIN",  
  "api_key": "API_KEY",  
  "sign": "SIGNATURE"
}

Где:

<span class="u-richtext-element">external_uid</span> — идентификатор пользователя на вашей платформе;

<span class="u-richtext-element">api_login</span> — API login пользователя Allpay;

<span class="u-richtext-element">api_key</span> — API key пользователя Allpay;

<span class="u-richtext-element">sign</span> — подпись запроса.

<span class="u-richtext-counter">4</span>Подпись запроса

Серверный запрос с API-ключами подписывается с помощью HMAC SHA-256.

Формат подписи:

hash_hmac('sha256', $payload_json, $secret_key);

Где:

<span class="u-richtext-element">payload_json</span> — JSON-тело запроса;

<span class="u-richtext-element">secret_key</span> — индивидуальный секретный ключ.

<span class="u-richtext-counter">5</span>Ответ вашей платформы

После успешного получения и сохранения ключей ваша платформа должна вернуть успешный ответ, например:

{  
"ok": true
}

После этого Allpay отмечает интеграцию как активную.

Отключение интеграции

Если пользователь отключает интеграцию на стороне вашей платформы, вы должны удалить сохраненные API-ключи у себя.

Дополнительно ваша платформа должна отправить в Allpay POST-запрос на отключение интеграции:

POST https://allpay.to/services/endpoints/exchange.php?act=disconnect&partner_id=PARTNER_ID

Тело запроса:

{  
  "external_uid": "USER_ID",  
  "sign": "SIGNATURE"
}

Где:

<span class="u-richtext-element">external_uid</span> — идентификатор пользователя на вашей платформе;

<span class="u-richtext-element">sign</span> — подпись запроса.

Запрос на отключение также подписывается с помощью <span class="u-richtext-element">secret_key</span>.

Если пользователь отключает интеграцию из кабинета Allpay, Allpay может отправить уведомление об отключении на endpoint вашей платформы. Для получения такого уведомления предоставьте endpoint на вашей стороне.

Требования безопасности

При автоматизированной интеграции необходимо соблюдать следующие требования:

1. Передача только по HTTPS
   Все запросы между Allpay и вашей платформой должны выполняться только по HTTPS.
2. Безопасное хранение ключей
   ‍Полученные <span class="u-richtext-element">api_login</span> и <span class="u-richtext-element">api_key</span> должны храниться на вашей стороне в защищенном виде.
3. Подпись серверных запросов
   ‍Серверные запросы должны подписываться с помощью <span class="u-richtext-element">secret_key</span>.

<span id="info">Информация для каталога интеграций</span>

После того как техническая часть завершена и интеграция работает, пришлите следующую информацию для добавления вашей платформы в каталог интеграций Allpay:

• логотип платформы в формате SVG;
• краткое описание платформы до 200 символов;
• расширенное описание платформы до 360 символов;
• контакты для технической поддержки интеграции: email и WhatsApp или Telegram;
• информацию о том, поддерживает ли ваша интеграция рассрочку, рекуррентные платежи и возвраты платежей;
• ссылку на инструкцию по подключению Allpay на вашем сайте.

Рекомендации по брендингу Allpay

Используйте корректное написание бренда:

• правильно: Allpay;
• неправильно: AllPay, All Pay, allpay.

Используйте официальный логотип Allpay.

Chargeback (чарджбэк) — происходит от английских слов «charge» (списание средств) и «back» (обратно), что буквально означает «возврат средств обратно». Этот термин обозначает процедуру, при которой банк возвращает деньги плательщику после того, как средства были ошибочно или мошеннически списаны с его счета.

Это механизм защиты потребителей, позволяющий отменить кредитные или дебетовые транзакции и вернуть средства, если клиент не авторизовал покупку, не получил товар или услугу, или возникли ошибки в выставлении счетов.

Участники чарджбэка

В процессе чарджбэка участвуют:

• Клиент: Инициирует чарджбэк через банк-эмитент (банк, выпустивший его карту).
• Банк-эмитент: Проводит расследование и, при необходимости, возвращает средства клиенту. В Израиле это Isracard, CAL и MAX.
• Бизнес (продавец): Должен предоставить доказательства легитимности транзакции. Если чарджбэк обоснован, он возвращает средства банку.

Возможные причины чарджбэка

• Клиент запросил возврат, так как не разобрался в банковской выписке или забыл, что в действительности делал платеж.
• Товар или услуга не были предоставлены бизнесом.
• С карты было мошенническое списание без ведома клиента (карта была украдена или скомпрометирована).

Процедура чарджбэка

После обращения клиента банк-эмитент открывает дело, устанавливает причину запроса чарджбэка и принимает решение возвратить средства клиенту или оставить их бизнесу. В рамках расследования банк свяжется с бизнесом и попросит предоставить доказательства оказания услуги.

В Израиле, согласно Закону о платежных услугах 2020 года, если транзакция считается «транзакцией с недостаточной документацией» (то есть проведена без физического присутствия карты, что справедливо для всех онлайн-платежей), в случае чарджбэка клиенту возвращается полная сумма транзакции при условии, что он обратился в банк-эмитент в течение 30 дней с момента получения уведомления о списании.

Таким образом, закон предоставляет значительную защиту потребителю, но также может привести к мошенничеству и отменам законных транзакций, когда клиент получил согласованную услугу. Поэтому бизнесу рекомендуется собирать и сохранять доказательства предоставления услуги или товара клиенту, особенно когда речь идет о крупных суммах (например, договор, квитанции, электронные письма, подтверждения доставки).

Если банк установил, что средства были списаны с карты клиента незаконно, то они будут возвращены клиенту и вычтены с баланса бизнеса.

Риски для бизнеса

Частые чарджбэки могут привести к серьезным последствиям для бизнеса. В первую очередь, бизнес сталкивается с финансовыми потерями из-за возврата средств клиентам. Однако, это не единственные риски:

• Штрафы и комиссии: Банки могут взимать штрафы за каждый чарджбэк, что увеличивает финансовую нагрузку на бизнес.
• Ухудшение отношений с банками: Частые чарджбэки могут негативно сказаться на отношениях с банками-эквайерами. Это может привести к увеличению комиссий, ухудшению условий сотрудничества или даже расторжению договора.
• Риск быть внесенным в черные списки: Высокий уровень чарджбэков может привести к внесению бизнеса в черные списки платежных систем, что затруднит работу с новыми эквайерами и другими финансовыми учреждениями.
• Потеря репутации: Частые чарджбэки могут негативно сказаться на репутации бизнеса, вызывая недоверие у клиентов и партнеров.

Советы по предотвращению

Чтобы минимизировать риски чарджбэков, бизнесу следует принять следующие меры:

• Использование безопасных методов оплаты: Активировать 3DS для своих платежей — двухфакторную аутентификацию, когда банк просит клинта подтвердить платеж в приложении банка или путем ввода SMS-кода.
• Улучшение коммуникации с клиентами: Быстрая и прозрачная коммуникация с клиентами помогает избежать недоразумений. Важно своевременно отвечать на вопросы клиентов и предоставлять им полную информацию о товарах и услугах.
• Сбор и хранение доказательств: Систематическое сохранение всех документов, подтверждающих факт оказания услуги или доставки товара, поможет защитить бизнес в случае чарджбэка.
• Ясные условия возврата: Прозрачная и понятная политика возвратов может снизить количество чарджбэков, так как клиенты будут знать, как вернуть товар или отменить услугу.

Комиссия

Средняя комиссия кредитной организации за процедуру чарджбэка составляет 50 ILS.

Отображение в интерфейсе и документы

Если по платежу был запрошен чарджбэк, на экране платежей появится новая транзакция с  меткой <span class="u-richtext-element" style="background-color: rgba(221, 94, 94, 0.4)">chargeback</span> и отрицательной суммой.

Также будет создан возвратный документ: хэшбонит зикуй и/или кабала с отрицательной суммой — в зависимости от типа бизнеса и типа ранее выпущенного документа.

Если бизнес оспорил чарджбэк и спор был разрешен в пользу бизнеса, средства будут возвращены. В этом случае на экране платежей появится новая транзакция с меткой <span class="u-richtext-element" style="background-color: rgba(68, 203, 138, 0.5)">отмена chargeback</span> и положительной суммой.

Также будет создан новый приходный документ: кабала или хэшбонит мас/кабала — в зависимости от типа бизнеса и настроек документооборота.

Чтобы клиент мог выбирать количество товара на странице оплаты, в разделе <span class="u-richtext-element">Настройки</span> ➙ <span class="u-richtext-element">Платежные ссылки</span> активируйте опцию <span class="u-richtext-element">Управлять количеством</span>

Теперь при создании платежной ссылки можно задать максимальное и минимальное число единиц товара/услуги, которое сможет выбрать клиент, а также общее количество, доступное для всех клиентов при оплате по этой ссылке.

Если минимальное количество единиц установить равным 0 (нулю), клиент сможет исключить этот товар из оплаты.

Общее оставшееся количество отображается на плитке платежной ссылки. Когда наличие исчерпано (равно нулю), платежная ссылка автоматически отключится.

Если общее количество не установлено (то есть клиент может выбрать любое количество товара без ограничения), то на платежной ссылке отображается символ бесконечности.

Одновременная покупка последнего товара

Когда несколько клиентов одновременно пытаются купить последний товар, покупка будет успешной у того, кто совершит оплату первым.

Например, если в наличии осталось 5 штук, и клиент А пытается купить все 5, а одновременно с ним клиент Б покупает 2 штуки и оплачивает первым, то клиент А увидит сообщение, что в наличии осталось только 3 штуки.

Страница оплаты поддерживает следующие языкы: арабский, английский, иврит, испанский, итальянский, немецкий, русский, французский.

Язык определяется автоматически на основе языка браузера, и каждый клиент видит страницу оплаты на своём языке. Если язык браузера не поддерживается или не может быть определен, по умолчанию будет установлен английский.

Для ручного управления языком страницы оплаты в секции <span class="u-richtext-element">Дополнительно</span> настроек платежной ссылки смените опцию <span class="u-richtext-element">Auto-detect (язык браузера)</span> на нужный вам язык.

Тогда клиент увидит страницу оплаты на этом языке, независимо от настроек его браузера. При этом переключатель смены языка по-прежнему будет ему доступен на странице оплаты.

Е-мейл уведомление об оплате отправляется клиенту на том языке, на котором у него была открыта страница оплаты в момент совершения платежа. Например, если страница оплаты была открыта на иврите, уведомление также будет отправлено на иврите. Пример е-мейл уведомления.

Перевод дополнительных полей

Если вы добавляете на страницу оплаты дополнительные поля, их названия можно перевести на все четыре языка. Это позволит сделать страницу оплаты удобной для мультиязычной аудитории. Подробнее читайте в статье о дополнительных полях.

Управление языком по API

Для платежей, которые инициируются с вашего сайта (то есть не через платежные ссылки, создаваемые в Allpay), управление языком страницы оплаты осуществляется через API согласно документации.

По умолчанию применяется автоматическое определение языка на основе настроек браузера.