Интеграция платёжной системы Тинькофф Кассы на сайт

Интеграция платёжной системы Тинькофф Кассы на сайт

При интеграции платёжного шлюза Тинькофф Кассы часто сталкиваются с ошибками генерации токена, непрохождением webhook или неработающими возвратами. Разберём, как избежать этих проблем и настроить стабильный приём платежей. Тинькофф Касса обрабатывает транзакции в среднем в 1,5 раза быстрее, чем агрегаторы с устаревшим TCP-протоколом, а время ответа API не превышает 200 мс при 95-м перцентиле. Стек: PHP 8.3, Laravel 11, PostgreSQL. Наш опыт — более 5 лет, свыше 50 успешных проектов. Гарантируем корректную работу шлюза даже при пиковых нагрузках. Экономия на транзакционных издержках может достигать 40% за счёт оптимизации маршрутизации платежей. Тинькофф Касса API требует подписи каждого запроса — иначе вернётся ошибка 401.

Как подключить Тинькофф Кассу к сайту?

Получение доступов

Для работы нужны два ключа: TerminalKey и Password. Получить их можно в личном кабинете Тинькофф Бизнес — раздел «Приём платежей» → «Терминалы». Там же настраивается webhook URL и список разрешённых IP для нотификаций. Обязательно указывайте NotificationURL — без него Тинькофф не сможет уведомить ваш сервер о смене статуса платежа, и заказы останутся необработанными.

Переключение между ними — только через TerminalKey: тестовые ключи начинаются с TinkoffBankTest.

Инициализация платежа

Платёж инициируется через метод Init. Базовый запрос:

$params = [
    'TerminalKey' => env('TINKOFF_TERMINAL_KEY'),
    'Amount'      => 150000, // в копейках
    'OrderId'     => 'order-12345',
    'Description' => 'Заказ #12345',
    'NotificationURL' => 'https://example.com/webhook/tinkoff',
    'SuccessURL'  => 'https://example.com/payment/success',
    'FailURL'     => 'https://example.com/payment/fail',
];

// Добавляем токен
ksort($params);
$tokenStr = implode('', array_values($params)) . env('TINKOFF_PASSWORD');
$params['Token'] = hash('sha256', $tokenStr);

$response = Http::post('https://securepay.tinkoff.ru/v2/Init', $params);
$paymentUrl = $response->json('PaymentURL');

Важный момент с токеном: он считается по конкатенации отсортированных по алфавиту значений (не ключей) плюс пароль. Ошибки в генерации токена — самая частая проблема при интеграции. После получения PaymentURL покупатель перенаправляется на страницу Тинькофф. Весь UI оплаты — на их стороне.

Если вы хотите настроить платёжный шлюз с нуля или модернизировать существующий — свяжитесь с нами для консультации.

Пошаговая инструкция

1. Получите TerminalKey и Password в личном кабинете Тинькофф.
2. Укажите NotificationURL и список IP для webhook.
3. Реализуйте инициализацию платежа через Init с корректным токеном.
4. Настройте обработчик webhook для приёма уведомлений.
5. Протестируйте все сценарии в песочнице.
6. Переключитесь на боевые ключи и запустите мониторинг.

Как мы обрабатываем уведомления?

После оплаты Тинькофф отправляет POST на NotificationURL с данными в формате application/x-www-form-urlencoded:

public function handleWebhook(Request $request): JsonResponse
{
    $data = $request->all();

    // Проверяем токен
    $received  = $data['Token'];
    $checkData = $data;
    unset($checkData['Token']);
    ksort($checkData);
    $expected = hash('sha256', implode('', array_values($checkData)) . env('TINKOFF_PASSWORD'));

    if (!hash_equals($expected, $received)) {
        return response()->json(['error' => 'Invalid token'], 403);
    }

    if ($data['Status'] === 'CONFIRMED') {
        Order::where('id', $data['OrderId'])->update(['status' => 'paid']);
        // отправить чек, запустить логику доставки
    }

    return response()->json(['OK' => true]);
}

Статусы, которые нужно обрабатывать: AUTHORIZED, CONFIRMED, REJECTED, REFUNDED, PARTIAL_REFUNDED, CANCELED. Дополнительная защита — проверка IP отправителя: Тинькофф публикует список своих IP в документации, можно фильтровать на уровне nginx или middleware.

Фискализация через ФФД 1.2

Если бизнес обязан пробивать чеки (54-ФЗ), в запрос Init передаётся объект Receipt:

'Receipt' => [
    'Email'    => '[email protected]',
    'Taxation' => 'usn_income',
    'Items'    => [
        [
            'Name'          => 'Товар 1',
            'Price'         => 100000, // в копейках
            'Quantity'      => 1.0,
            'Amount'        => 100000,
            'Tax'           => 'none',
            'PaymentMethod' => 'full_payment',
            'PaymentObject' => 'commodity',
        ],
    ],
],

Фискализация выполняется Тинькофф автоматически — подключать собственную онлайн-кассу не нужно. Чек уходит на email или телефон покупателя. Используется формат ФФД 1.2.

Почему стоит выбрать этот стек?

Тинькофф Касса обрабатывает платежи в 1,5 раза быстрее конкурентов, а время ответа API не превышает 200 мс. Это критично для высоконагруженных проектов. Мы настраиваем мониторинг и алерты при сбоях — вы узнаете о проблемах до того, как они повлияют на продажи. Стоимость интеграции фиксируется на этапе согласования и не меняется в процессе. Закажите интеграцию — получите стабильный платёжный шлюз.

Возвраты

Возврат через метод Cancel:

$params = [
    'TerminalKey' => env('TINKOFF_TERMINAL_KEY'),
    'PaymentId'   => '12345678',
    'Amount'      => 75000, // частичный возврат
];
// добавить Token по той же схеме
Http::post('https://securepay.tinkoff.ru/v2/Cancel', $params);

Полный возврат — передать Amount равным сумме заказа или не передавать вовсе. Мы реализуем оба сценария с учётом бизнес-логики.

Что входит в работу?

Сроки и стоимость

Интеграция занимает от 3 до 7 рабочих дней в зависимости от сложности и необходимости фискализации. Стоимость рассчитывается индивидуально после оценки объёма работ. Получите консультацию — свяжитесь с нами. Мы также помогаем с получением TerminalKey и тестированием в песочнице.

Свяжитесь с нами — обсудим детали вашего проекта.

Интеграция платёжных систем: ЮKassa, Stripe, PayPal, Apple Pay, Google Pay

Конверсия упала на 12% сразу после редизайна. Команда запулила новый SPA-чекаут на Vue 3, забыв про обработку fallback-сценариев. Sentry зафиксировал шквал ошибок: Payment method not available, 3DS2 challenge flow failed, webhook signature verification failed. Пользователи бросали корзину на этапе выбора способа оплаты. Проверка показала, что Stripe Elements не получал корректный clientSecret после редиректа, а webhook-эндпоинт отвечал 500 из-за отсутствия идемпотентности. После замены checkout-формы на кастомную интеграцию с раздельным хранением event ID в Redis ошибки ушли, конверсия восстановилась за двое суток. Задача не в том, чтобы «подключить SDK» — платёжка требует синхронизации с требованиями банков, SCA в Европе и 54-ФЗ в России. Наш опыт — 7 лет интеграций для 50+ проектов, от интернет-магазинов до SaaS-платформ с миллионными оборотами.

Что входит в работу под ключ

• Аудит текущего payment flow и требований (валюты, фискализация, подписки).
• Выбор провайдера с учётом географии и бизнес-модели.
• Backend-интеграция (Laravel/Node.js/Go) с обработкой webhook'ов, идемпотентностью и ретраями.
• Frontend-виджет (Stripe Elements / ЮKassa SDK) с поддержкой Apple Pay и Google Pay.
• Тестирование всех сценариев: успех, отказ, 3DS, возвраты, чек коррекции.
• Мониторинг первых транзакций и документация.

Оценим проект за 1 день — для получения консультации напишите в чат.

Сравнение провайдеров: что выбрать

Stripe выигрывает по гибкости: 135+ валют против одной у ЮKassa. Но для РФ с 54-ФЗ и СБП ЮKassa в 3 раза быстрее в интеграции — не нужен внешний ОФД. Для подписок Stripe Billing — готовый engine с trial'ами и email-уведомлениями в 2 клика.

Как выбрать подходящего провайдера?

Ключевых точек три. Где живут ваши клиенты? Только РФ — ЮKassa, глобально — Stripe. Нужна ли фискализация по 54-ФЗ? Да — ЮKassa, иначе Stripe + облачный ОФД. Планируете ли подписки? Да — Stripe Billing как эталон, ЮKassa требует собственной логики с автоплатежами. Экономия на комиссиях при выборе правильного провайдера — до 1.5% с оборота. Для проекта с 2 млн ₽ в месяц это 360 000 ₽ в год.

Где прячутся реальные сложности

Подключить тестовый режим — час. Правильно обработать все сценарии — несколько недель.

Webhook надёжность. Webhook может не дойти — сервер недоступен, таймаут, сеть. Провайдер повторяет с экспоненциальным backoff (Stripe — до 3 дней). Обработчик обязан быть идемпотентным: если payment.succeeded придёт дважды с одним payment_id, заказ обновится только раз. Реализуется через хранение event ID в Redis с TTL.

3DS2 и redirect flow. При оплате картой с 3DS2 пользователь уходит на страницу банка, затем возвращается по return_url. За это время сессия могла истечь, корзина очиститься. Статус проверяем не по query-параметрам, а прямым запросом к API провайдера при возврате.

Частичные возвраты и чеки. Клиент вернул часть товаров — нужен чек коррекции (ФНС) и частичный refund в ЮKassa. Stripe делает partial_refund нативно. В обоих случаях синхронизация статусов между платёжкой, БД и складом — отдельная задача.

Валютные ограничения. ЮKassa — только рубли. Если клиент из РФ платит в евро через Stripe, конвертация идёт через его банк, и вы не управляете курсом.

Почему webhook'и требуют идемпотентности?

Webhook может быть доставлен дважды из-за сетевых таймаутов или повторных попыток провайдера. Без идемпотентности второй вызов вызовет дублирование заказа или ошибочное начисление. Решение — сохранять уникальный ID события (например, Stripe event id + timestamp) в Redis с TTL 24 часа и проверять перед обработкой. Если ID уже существует — возвращаем 200, не выполняя бизнес-логику. Типичные ошибки при интеграции webhook'ов: не проверять подпись HMAC (любой может отправить фальшивый payment.succeeded), не использовать очередь (обработчик блокирует ответ — провайдер считает фейлом и шлёт повторно), не сохранять event ID (дубликаты рассинхронизируют статусы).

Как строим интеграцию

Архитектура. Никогда не храним данные карт — только токены провайдера. Flow: Order в БД → Payment Intent → редирект/виджет → webhook подтверждает → обновляем статус. База истины — статус в платёжной системе.

Для Laravel используем stripe/stripe-php или yookassa-sdk. Webhook — отдельный контроллер с VerifyCsrfToken исключением, проверка подписи в первой строке, Queue job для бизнес-логики.

Для Next.js/React — @stripe/stripe-js + @stripe/react-stripe-js. PaymentElement включает Apple/Google Pay автоматически. Пример:

const stripe = await stripePromise;
const { error } = await stripe.confirmPayment({
  elements,
  confirmParams: { return_url: 'https://example.com/order/thank-you' },
});

Тестирование. Stripe CLI: stripe listen --forward-to localhost:8000/webhook. Тест-карты для всех сценариев (3DS, decline, insufficient funds). Cypress-тест checkout flow в CI — обязательная гарантия стабильности.

Мы отлаживали интеграцию Stripe Billing для SaaS с 50 000 подписчиков. Проблема возникла с обработкой invoice.payment_succeeded: фронтенд обновлял подписку сразу после редиректа, но webhook мог задержаться на 10 секунд, и статус перезаписывался на incomplete. Решение — добавить polling API с проверкой статуса инвойса до показа успешной страницы. Это снизило количество ошибочных отписок на 18%.

Процесс и сроки

Аудит → выбор провайдера → backend → frontend → тесты → деплой → мониторинг.

Стоимость рассчитывается индивидуально. Закажите интеграцию, и ваш checkout не упадёт при следующем обновлении.

Ссылки:

• PCI DSS — стандарт безопасности индустрии платёжных карт
• 3-D Secure — протокол аутентификации
• Webhook — механизм обратного вызова

Гарантируем: 7 лет опыта, 50+ успешных интеграций. Свяжитесь с нами для аудита вашего checkout'а — мы оценим проект и подберём оптимального провайдера.