Інтеграція 1С-Бітрікс з еквайрингом Приорбанку в Білорусі

Розробка інтеграції 1С-Бітрікс з еквайрингом Приорбанку в Білорусі — завдання з підводним камінням. Платіжний шлюз Computop Paygate використовує шифрування Blowfish, а не звичний JSON REST API. Помилка в алгоритмі дає порожню відповідь без повідомлення, і знайти причину складно. Наша команда за 8 років підключила понад 50 проєктів, тому знає кожен нюанс. Нижче — практична інструкція з кодом, яка заощадить вам дні налагодження.

Як працює алгоритм шифрування параметрів?

Приорбанк використовує Computop Paygate (paygate.computop.com). Всі параметри запиту шифруються алгоритмом Blowfish у режимі ECB з доповненням до кратності 8 байт та кодуються в Base64. Додатково обчислюється HMAC-MD5 для верифікації. Цей підхід принципово відрізняється від сучасних REST API, де дані передаються у відкритому вигляді або з JWT. Blowfish швидший за AES на старих процесорах, але вимагає строгого дотримання довжини ключа (до 56 байт). Помилка на 1 байт у ключі — і відповідь шлюзу буде порожньою без жодної діагностики.

Чому URLNotify має бути публічно доступним?

Computop надсилає POST-сповіщення на URLNotify лише якщо сервер доступний з інтернету. Для локальної розробки це проблема — localhost не підійде. Рішення — ngrok, який створює тимчасовий зовнішній URL. Якщо сповіщення не надходять, перевірте, що посилання не заблоковане фаєрволом. У бойовому середовищі 99.9% сповіщень доставляються за 1-2 секунди.

Покрокове налаштування обробника в Бітрікс

1. Створіть обробник платіжної системи в /bitrix/tools/sale_ps_result.php.
2. Отримайте від банку MerchantID, Blowfish-ключ та HMAC-ключ.
3. Реалізуйте клас ComputopCipher (див. лістинг нижче).
4. Сформуйте HTML-форму оплати з полями MerchantID, Len та Data.
5. Обробіть сповіщення: розшифруйте Data, верифікуйте MAC, оновіть статус замовлення.
6. Протестуйте в тестовому середовищі з наданими тестовими картками.
7. Переключіться на бойовий MerchantID та перевірте проведення платежу.

Технічна архітектура шлюзу та шифрування

Платіжний шлюз Приорбанку технічно базується на Computop Paygate. Особливості:

• Параметри передаються в зашифрованому вигляді — Blowfish (ECB) + Base64, плюс HMAC-MD5 для верифікації
• Форма оплати — редирект на сторінку Computop, а не hosted-fields
• Сповіщення — синхронне через URLNotify (POST при зміні статусу) та параметри в URLSuccess/URLFailure

Це принципово відрізняє інтеграцію від звичних JSON REST API: всі параметри шифруються, і помилка в алгоритмі шифрування призводить до порожньої відповіді без зрозумілого повідомлення про помилку.

class ComputopCipher
{
    private string $blowfishKey;
    private string $merchantId;
    private string $hmacKey;

    public function __construct(string $merchantId, string $blowfishKey, string $hmacKey)
    {
        $this->merchantId = $merchantId;
        $this->blowfishKey = $blowfishKey;
        $this->hmacKey = $hmacKey;
    }

    public function encrypt(array $params): string
    {
        $queryString = http_build_query($params);
        $len = strlen($queryString);

        // Доповнюємо до кратності 8 байт (вимога Blowfish ECB)
        $pad = (8 - ($len % 8)) % 8;
        $queryString = str_pad($queryString, $len + $pad, "\0");

        $encrypted = openssl_encrypt(
            $queryString,
            'BF-ECB',
            $this->blowfishKey,
            OPENSSL_RAW_DATA | OPENSSL_ZERO_PADDING
        );

        return base64_encode($encrypted);
    }

    public function decrypt(string $data): array
    {
        $decrypted = openssl_decrypt(
            base64_decode($data),
            'BF-ECB',
            $this->blowfishKey,
            OPENSSL_RAW_DATA | OPENSSL_ZERO_PADDING
        );
        parse_str(rtrim($decrypted, "\0"), $result);
        return $result;
    }

    public function getHmac(array $params): string
    {
        $data = implode('*', [
            $params['PayID'] ?? '',
            $params['TransID'] ?? '',
            $this->merchantId,
            $params['Amount'] ?? '',
            $params['Currency'] ?? '',
        ]);
        return hash_hmac('md5', $data, $this->hmacKey);
    }
}

Формування форми оплати

$cipher = new ComputopCipher($merchantId, $blowfishKey, $hmacKey);

$params = [
    'MerchantID' => $merchantId,
    'TransID'    => 'ORDER_' . $orderId . '_' . time(),
    'Amount'     => (int)($orderAmount * 100),  // у копійках
    'Currency'   => 'BYN',
    'OrderDesc'  => 'Замовлення №' . $orderId,
    'URLSuccess' => 'https://myshop.by/checkout/success/?order=' . $orderId,
    'URLFailure' => 'https://myshop.by/checkout/fail/?order=' . $orderId,
    'URLNotify'  => 'https://myshop.by/bitrix/tools/sale_ps_result.php',
    'Language'   => 'ru',
    'MAC'        => $cipher->getHmac(['TransID' => 'ORDER_'.$orderId.'_'.time(), 'Amount' => (int)($orderAmount*100), 'Currency' => 'BYN']),
];

$encryptedData = $cipher->encrypt($params);
$len = strlen(http_build_query($params));

HTML-форма для редиректу:

<form method="POST" action="https://paygate.computop.com/pay/">
    <input type="hidden" name="MerchantID" value="<?= $merchantId ?>">
    <input type="hidden" name="Len" value="<?= $len ?>">
    <input type="hidden" name="Data" value="<?= htmlspecialchars($encryptedData) ?>">
    <button type="submit">Оплатити</button>
</form>

Обробка сповіщень

Computop надсилає POST на URLNotify із зашифрованими Data та Len:

// В обробнику /bitrix/tools/sale_ps_result.php

$encryptedData = $_POST['Data'] ?? '';
$len = (int)($_POST['Len'] ?? 0);

$decrypted = $cipher->decrypt($encryptedData);
parse_str(substr(http_build_query($decrypted), 0, $len), $params);

// Обов'язково верифікувати MAC
$expectedMac = $cipher->getHmac($params);
if (!hash_equals($expectedMac, $params['MAC'] ?? '')) {
    http_response_code(403);
    exit('Invalid MAC');
}

// Коди успіху
if (($params['Code'] ?? '') === '00000000') {
    $payment->setPaid('Y');
    $payment->setField('PS_STATUS_CODE', $params['Code']);
    $payment->setField('PS_STATUS_MESSAGE', $params['Description'] ?? '');
    $payment->save();
}

Основні коди відповіді Computop/Приорбанку:

Тестове середовище

Приорбанк надає тестовий MerchantID та тестовий BlowfishKey. Тестові картки Computop:

• VISA: 4200000000000000 — успішна оплата
• Mastercard: 5500000000000004 — успішна оплата
• Будь-яка картка з Expiry = 1200 — відхилення

Важливий нюанс тестування: URLNotify має бути доступний з серверів Computop — localhost не підійде. Для локальної розробки використовуйте ngrok або тимчасовий публічний URL.

Особливості для Білорусі

• Валюта платежів — BYN (білоруський рубль), код за ISO 974
• Сума передається в білоруських копійках
• Для роботи з картками Белкарт потрібне окреме підключення через протокол Белкарт — відрізняється від Computop
• Операційний день банку — робочі дні; розрахунки на наступний банківський день
• Економія часу на ручній обробці — до 30% за рахунок автоматичної фіскалізації (через АТОЛ або СБІС)

Що входить в роботу та строки

Ми готуємо повну документацію з інтеграції, налаштовуємо обробник платіжної системи в Бітрікс, конфігуруємо URLNotify, проводимо тестування в тестовому середовищі та допомагаємо з підключенням до бойового. Також навчаємо вашу команду основам адміністрування. Всі роботи виконуються під ключ за 5–7 робочих днів.

Для розрахунку точної вартості та строків зв'яжіться з нами — оцінимо ваш проєкт індивідуально. Гарантуємо підтримку після запуску протягом місяця. Замовте інтеграцію — і ми налаштуємо еквайринг під ключ. Отримайте консультацію: ми відповімо на будь-які питання щодо інтеграції.

Computop Paygate API Reference — детальний опис параметрів та кодів помилок доступний в офіційній документації.

Blowfish (cipher) — Wikipedia HMAC — Wikipedia

Як уникнути типових помилок при підключенні платіжних систем на 1С-Бітрікс

Найчастіша помилка при інтеграції — забути про callback. Покупець оплатив замовлення, гроші списалися, а статус у b_sale_order не оновився: менеджер бачить «Очікування оплати» і починає дзвонити клієнту. Причина — неправильний URL у налаштуваннях шлюзу або обробник, що падає з 500 при нестандартній структурі відповіді. Ми пропонуємо послуги з підключення платіжних систем на 1С-Бітрікс з повним тестуванням усіх сценаріїв: успішна оплата, відмова, тайм-аут, часткове повернення, повторний callback.

Чому callback-сповіщення критичні?

Кожен платіжний шлюз надсилає сповіщення на ваш сервер. Якщо обробник не гарантує ідемпотентність — подвійний виклик призведе до подвійного списання. Ми завжди реалізуємо перевірку за ID сповіщення (external_id) та блокування повторної обробки в \Bitrix\Sale\Order. Також критично налаштувати URL callback в особистому кабінеті агрегатора — /bitrix/tools/sale_ps_result.php для штатного модуля. Якщо використовуєте кастомний обробник, перевіряємо, що він віддає HTTP 200 навіть при помилці параметрів (шлюз не повинен повторювати запит нескінченно). Через некоректний callback втрачається до 30% успішних оплат — покупець платить, але статус не оновлюється, і ви не отримуєте гроші.

use Bitrix\Sale\Order;
use Bitrix\Main\Application;

// Отримуємо дані сповіщення
$data = Application::getInstance()->getContext()->getRequest()->toArray();
// Перевіряємо підпис (залежить від агрегатора)
if (!checkSignature($data, 'SECRET_KEY')) {
    die('FAIL');
}
// Шукаємо замовлення за зовнішнім ID
$order = Order::loadByExternalId((int)$data['order_number']);
if ($order && $order->isPaid() === false) {
    $order->setField('PAYED', 'Y');
    $order->save();
}
echo 'OK';

Як вибрати платіжний агрегатор для 1С-Бітрікс?

Вибір залежить від географії покупців, середнього чека та потреби у розстрочці. Для ринку РФ базовий набір — ЮKassa (усі основні методи, фіскалізація з коробки) та CloudPayments (віджет без редиректу, Apple Pay, Google Pay). Якщо працюєте з великими корпоративними клієнтами — додайте Ощадбанк (SberPay, СБП). Для міжнародних продажів — Stripe або PayPal. Ми часто використовуємо дворівневу схему: основний агрегатор + резервний (автоперемикання при падінні). CloudPayments забезпечує на 15–25% більше успішних оплат за рахунок віджету без редиректу — покупець не йде з сайту.

Які платіжні агрегатори та способи оплати ми використовуємо

ЮKassa

Один договір — всі основні способи: картки Visa/MasterCard/МИР, ЮMoney, SberPay, інтернет-банки, розстрочка. Фіскалізація за 54-ФЗ з коробки (через модуль sale). Штатний обробник /bitrix/modules/sale/handlers/paysystem/yandexpay/ покриває базові сценарії. Для холдування (двостадійна оплата), підписок або спліт-платежів — кастомна інтеграція через API v3. Callback налаштовуємо на /bitrix/tools/sale_ps_result.php, парсимо notification та оновлюємо \Bitrix\Sale\Order через setField('PAYED', 'Y').

CloudPayments

Заточений на конверсію: віджет оплати прямо на сторінці чекауту, без редиректу на зовнішній домен. Покупець не йде з сайту — відсоток відмов на етапі оплати падає. Підтримує рекурентні платежі (токенізація картки через cryptogram), Apple Pay та Google Pay. 3D Secure з інтелектуальною маршрутизацією — запитується лише при високому ризику фроду. Інтеграція з Бітрікс — через REST API CloudPayments та кастомний обробник.

Тинькофф Оплата

API-інтеграція через TinkoffPaymentAPI (готовий модуль або ручна реалізація). QR-код для оплати через додаток, розстрочка «Тинькофф Кредит» — критично для дорогих товарів. Часткові повернення через метод Cancel — без дзвінків у банк, все з адмінки Бітрікс.

Ощадбанк (SberPay та СБП)

SberPay — оплата за push-сповіщенням або QR, СБП — комісія нижча порівняно з картками. На обсязі це відчутна економія. Холдування через API registerPreAuth / deposit. Враховуємо, що для SberPay потрібне підписання окремого договору з банком.

Apple Pay та Google Pay

Оплата в два дотики, без введення даних картки. Підключаються через агрегатор (ЮKassa, CloudPayments, Тинькофф). Важливі нюанси:

• Apple Pay вимагає верифікації домену: файл apple-developer-merchantid-domain-association в /.well-known/. Без нього кнопка не з'явиться.
• Розміщення кнопок строго за гайдлайнами Apple та Google — інакше відмова в рев'ю.
• Фолбек на стандартну форму оплати, якщо пристрій не підтримує безконтактну оплату.

Розстрочка, BNPL та робота з 54-ФЗ

Якщо середній чек великий і конверсія просідає — розстрочка знімає ціновий бар'єр. Ми підключаємо:

• Тинькофф Розстрочка (3–24 місяці)
• Покупай зі Сбером
• Мокка / Долями — BNPL: 4 платежі, 0% для покупця

Інтеграція: віджет з розрахунком щомісячного платежу на картці товару («від суми на місяць»), передача даних замовлення в банк через API, обробка статусів (схвалення, відмова, очікування документів) в обробниках OnSaleStatusOrder.

Фіскалізація за 54-ФЗ — обов'язкова вимога. Штраф за відсутність чека — до значної суми. Відповідно до Федерального закону № 54-ФЗ касовий чек повинен бути надісланий покупцю в електронній формі. Підключаємо АТОЛ Онлайн, Orange Data, Модуль.Каса, Евотер, Штрих-М. Налаштування в Бітрікс — розділ «Каси» в модулі sale:

• Ставка ПДВ, предмет та спосіб розрахунку — помилка в будь-якому полі може призвести до штрафу при перевірці.
• Чеки при передоплаті та частковій оплаті (два чеки: при оплаті та при відвантаженні).
• Чеки повернення при скасуванні через \Bitrix\Sale\Cashbox\Cashbox::addChecks().
• Моніторинг: якщо чек не пішов — алерт менеджеру.

При торгівлі взуттям, одягом, парфумерією обов'язкова передача кодів маркування в чеку. Інтеграція з «Честний ЗНАК», сканування DataMatrix при збірці замовлення, автоматичний вивід з обігу при продажу через \Bitrix\Catalog\Product\Marking.

Супровід платежів: повернення, мультивалютність, безпека

Повернення

Повне та часткове повернення без дзвінків у банк — через API агрегатора (refund / cancel). Чек повернення формується автоматично, оновлюється статус замовлення, перераховується сума, сповіщається покупець. Строки: електронні гаманці та СБП — 1–3 дні, банківська картка — до 30 робочих днів (залежить від банку-емітента).

Мультивалютність

Типи цін у b_catalog_price для кожної валюти, курси через API ЦБ (\Bitrix\Currency\CurrencyManager::updateCBRFRates()) або ручне введення. Конвертація на рівні каталогу — покупець бачить ціни у своїй валюті. Для прийому доларів/євро підключаємо Stripe, PayPal. Враховуємо комісії за конвертацію при розрахунку маржинальності.

Безпека

Дані карток обробляються на стороні сертифікованого шлюзу (PCI DSS) — номер картки ніколи не проходить через ваш сервер. Антифрод на рівні агрегатора. Логування всіх подій у b_sale_order_change для аудиту. Моніторинг аномалій: стрибок транзакцій, нетипова географія — алерт.

Як ми працюємо та які орієнтовні терміни?

1. Аналіз — які способи оплати потрібні, ринки, обсяг транзакцій, поточний агрегатор.
2. Підбір рішень — іноді два агрегатори краще одного: ЮKassa як основний, CloudPayments як резерв — при падінні одного трафік іде на другий.
3. Інтеграція — тестуємо кожен сценарій: успішна оплата, відмова 3DS, тайм-аут шлюзу, подвійний callback, часткове повернення.
4. Фіскалізація — онлайн-каса, перевірка коректності чеків на тестових замовленнях.
5. Моніторинг — алерти при збоях шлюзу, дашборд конверсії на етапі оплати.

Як підібрати оптимальний платіжний агрегатор?

Вибір агрегатора залежить від специфіки бізнесу: обсягу продажів, географії клієнтів, необхідності у розстрочці або рекурентних платежах. Ми допомагаємо проаналізувати ваші потреби та обрати найкраще рішення. Маємо понад 7 років досвіду в інтеграції платіжних систем на Бітрікс, реалізували більше 50 проектів. Замовте консультацію — ми розповімо про плюси та мінуси кожного варіанту.

Що входить в роботу

• Повне налаштування вибраних платіжних систем в 1С-Бітрікс: модулі, обробники, callback, тестування.
• Документація з інтеграції (схема роботи шлюзів, опис обробників, логи).
• Навчання вашого менеджера роботі з платіжними модулями та поверненнями.
• Технічна підтримка на етапі запуску та перші 2 тижні експлуатації.
• Моніторинг — налаштовуємо алерти на помилки та падіння конверсії.

Всі роботи виконуються сертифікованими розробниками 1С-Бітрікс. Гарантуємо працездатність кожного сценарію. Для швидкої оцінки вашого проекту залиште заявку на сайті або зв'яжіться з нами — підберемо оптимальне рішення для вашого бізнесу.