Авторизация

Для защищенных методов API требуется авторизация с помощью HMAC-SHA256 подписи.

Обязательные заголовки

Каждый запрос должен содержать три обязательных заголовка:

Формирование подписи

Подпись формируется на основе timestamp и тела запроса.

Описание формата

Алгоритм подписи:

• Получите текущее Unix-время в секундах
• Получите тело запроса
• Приведите JSON к canonical-формату
• Сформируйте строку: timestamp + "." + canonicalBody
• Подпишите строку с помощью HMAC-SHA256, используя api_secret
• Передайте timestamp и подпись в заголовках запроса

Важные требования:

• api_secret нельзя передавать в запросе
• api_secret должен храниться только на стороне сервера мерчанта
• Подпись должна рассчитываться отдельно для каждого запроса
• X-Timestamp должен соответствовать времени формирования подписи
• Тело запроса, отправленное в API, должно полностью совпадать с телом, по которому была рассчитана подпись
• Для запросов без тела подписывается строка вида: {timestamp}

Примеры:

PHPPythonJS

Ошибки авторизации

{
  "status": 401,
  "message": "Invalid X-Timestamp"
}

{
  "status": 401,
  "message": "Expired X-Timestamp"
}

{
  "status": 401,
  "message": "Invalid X-Signature"
}

{
  "status": 401,
  "message": "Invalid token"
}

{
  "status": 401,
  "message": "Merchant secret not configured"
}

{
  "status": 500,
  "message": "Internal Server Error"
}