Настройка webhook
HTTPS endpoint и одноразовый секрет.
В кабинете Разработчики → Webhooks добавьте публичный HTTPS endpoint своего сервера. Сохраните secret и keyId сразу: секрет показывается один раз.
Обработчик принимает POST, сохраняет исходные UTF-8 байты с ограничением 256 КиБ, проверяет все заголовки v2 и HMAC до использования JSON, устраняет дубли X-Event-Id в постоянном хранилище и отвечает 2xx после надёжного сохранения.
Ротация выдаёт новый секрет и key ID для будущих доставок. Созданные доставки сохраняют старую подпись-снимок, поэтому храните прежние нескомпрометированные ключи по X-Key-Id.
Для создания платежа нужен активный endpoint. Для выдачи нового Live-ключа дополнительно нужен успешный тест текущей конфигурации каждого активного Live endpoint. После изменения настроек или секрета повторите тест.