iyzico Checkout для WooCommerce — оплата карткою в Туреччині з розстрочкою

iyzico Checkout для WooCommerce — платіжний плагін для магазинів, що продають у Туреччині через iyzico. Покупець платить карткою на захищеній сторінці iyzico з 3D Secure і розстрочкою (taksit), а замовлення підтверджується лише тоді, коли ваш сервер сам запитав у iyzico результат і перевірив його підпис, суму, валюту й кошик. Не браузер покупця, не параметр в URL, а підписана відповідь iyzico.

Навіщо ще один плагін iyzico. Офіційний плагін iyzico для WooCommerce стоїть на 10 000 сайтів і має рейтинг 1,7 з 5: у відгуках скаржаться на несумісність з HPOS, білий екран після оновлень і замовлення, що «зависають» без статусу. Ми написали плагін навколо чотирьох речей, які мусять працювати завжди: серверна перевірка оплати, вебхук на випадок закритої вкладки, HPOS і блоковий чекаут.

Що отримує адмін

• Пісочниця iyzico — інтеграцію перевіряєте на тестових ключах до реальних грошей.
• «Перевірити ключі» — один підписаний запит до iyzico без створення платежу. Про неправильні ключі ви дізнаєтесь в адмінці, а не від покупця.
• Антифрод iyzico: платіж на перевірці ставить замовлення «На утриманні» з приміткою «не відправляйте». Коли iyzico підтвердить — вебхук переведе замовлення в оплачене.
• Pro-повернення з картки замовлення: повне в день оплати йде як скасування (у виписці покупця нічого не з’являється), часткові розкладаються по позиціях кошика з обліком, скільки вже повернено.
• Pro-розстрочка: обираєте, які варіанти (tek çekim, 2, 3, 6, 9, 12 taksit) показує сторінка оплати, і за бажання додаєте комісію за розстрочку в замовлення окремим рядком.

Як це працює — крок за кроком

1. Покупець на чекауті обирає оплату карткою через iyzico і підтверджує замовлення.
2. Плагін створює Checkout Form в iyzico: покупець, адреси, кошик. Позиції кошика завжди в сумі дають суму замовлення до копійки (знижки, доставка й округлення врівноважуються), тому iyzico не відхиляє запит через розбіжність суми. Запит підписується IYZWSv2 (HMAC-SHA256), відповідь iyzico перевіряється за підписом.
3. Покупець платить на сторінці iyzico: 3D Secure, розстрочка, гаманець iyzico.
4. iyzico повертає покупця з токеном. Плагін токену не довіряє: знаходить замовлення за номером і ключем, сам запитує результат в iyzico збереженим токеном і перевіряє підпис, токен, номер кошика, валюту й суму.
5. Замовлення переходить в «Обробляється» (або «Виконано») з Payment ID, розстрочкою і карткою в примітці.
6. Якщо покупець закрив вкладку, iyzico надсилає вебхук з підписом X-IYZ-SIGNATURE-V3. Плагін перевіряє підпис і так само сам запитує результат — замовлення не зависне «в очікуванні».
7. Колбек і вебхук одночасно не проведуть оплату двічі: застосування результату йде під блокуванням на рівні бази.

Що під капотом

• Серверна перевірка результату: підпис HMAC-SHA256 відповіді iyzico (paymentStatus, paymentId, валюта, кошик, conversationId, суми, токен) звіряється з вашим секретним ключем.
• Токен з браузера не використовується для підтвердження — лише збережений при створенні платежу.
• Вебхук V3 з перевіркою підпису; непідписаний або підроблений запит отримує 401 і нічого не змінює.
• Ідемпотентність: оплачене чи повернене замовлення не відкотиться пізньою відповіддю, а подвійне підтвердження заблоковане на рівні бази.
• Облік повернень по кожній транзакції позиції: iyzico ніколи не отримає запит на суму, більшу за залишок.
• T.C. Kimlik No не зберігається в замовленні й не пишеться в лог — лише передається в iyzico.
• Секретні ключі в базі зашифровані, у лог не потрапляють.
• Переклади: турецька, українська, англійська.

Як встановити

1. Плагіни → Додати новий → Завантажити плагін: оберіть catcode-iyzico-checkout-for-woocommerce-1.0.2.zip і активуйте.
2. WooCommerce → Налаштування → Платежі → iyzico Checkout (CatCode).
3. Вставте API-ключ і секретний ключ з кабінету iyzico → Settings → Merchant Settings (для тесту — ключі пісочниці з префіксом sandbox-).
4. Натисніть «Перевірити ключі» і збережіть.
5. Скопіюйте URL вебхука внизу налаштувань у кабінет iyzico → Merchant Notifications.
6. Для Pro: вставте ліцензійний ключ або запустіть 7-денний тріал.