iyzico Checkout для WooCommerce — оплата карткою в Туреччині з розстрочкою

iyzico Checkout для WooCommerce — платіжний плагін для магазинів, що продають у Туреччині через iyzico. Покупець платить карткою на захищеній сторінці iyzico з 3D Secure і розстрочкою (taksit), а замовлення підтверджується лише тоді, коли ваш сервер сам запитав у iyzico результат і перевірив його підпис, суму, валюту й кошик. Не браузер покупця, не параметр в URL, а підписана відповідь iyzico.

Навіщо ще один плагін iyzico. Офіційний плагін iyzico для WooCommerce стоїть на 10 000 сайтів і має рейтинг 1,7 з 5: у відгуках скаржаться на несумісність з HPOS, білий екран після оновлень і замовлення, що «зависають» без статусу. Ми написали плагін навколо чотирьох речей, які мусять працювати завжди: серверна перевірка оплати, вебхук на випадок закритої вкладки, HPOS і блоковий чекаут.

Базова версія — безкоштовна. Приймання оплати, перевірка підпису, вебхуки, антифрод-статус і пісочниця працюють без ліцензії й без обмеження в часі. Pro додає повернення коштів з картки замовлення (і скасування в день оплати), керування розстрочкою з комісією в замовленні та журнал платежів.

Живе демо

Наш демо-магазин WooCommerce показує плагін у тестовому режимі: відповіді iyzico там імітуються, гроші з картки не списуються. У цьому режимі ми пройшли класичний і блоковий чекаут, успішну оплату, розстрочку, відмову банку, антифрод-перевірку, підроблений підпис, недоплату, вебхук без повернення покупця, часткове й повне повернення. Скріни нижче — звідти. Справжні платежі iyzico перевіряються після підключення вашого мерчанта: спершу на ключах пісочниці iyzico, потім на бойових.

Як це виглядає для покупця

Що отримує адмін

• Пісочниця iyzico — інтеграцію перевіряєте на тестових ключах до реальних грошей.
• «Перевірити ключі» — один підписаний запит до iyzico без створення платежу. Про неправильні ключі ви дізнаєтесь в адмінці, а не від покупця.
• Антифрод iyzico: платіж на перевірці ставить замовлення «На утриманні» з приміткою «не відправляйте». Коли iyzico підтвердить — вебхук переведе замовлення в оплачене.
• Pro-повернення з картки замовлення: повне в день оплати йде як скасування (у виписці покупця нічого не з’являється), часткові розкладаються по позиціях кошика з обліком, скільки вже повернено.
• Pro-розстрочка: обираєте, які варіанти (tek çekim, 2, 3, 6, 9, 12 taksit) показує сторінка оплати, і за бажання додаєте комісію за розстрочку в замовлення окремим рядком.

Як це працює — крок за кроком

1. Покупець на чекауті обирає оплату карткою через iyzico і підтверджує замовлення.
2. Плагін створює Checkout Form в iyzico: покупець, адреси, кошик. Позиції кошика завжди в сумі дають суму замовлення до копійки (знижки, доставка й округлення врівноважуються), тому iyzico не відхиляє запит через розбіжність суми. Запит підписується IYZWSv2 (HMAC-SHA256), відповідь iyzico перевіряється за підписом.
3. Покупець платить на сторінці iyzico: 3D Secure, розстрочка, гаманець iyzico.
4. iyzico повертає покупця з токеном. Плагін токену не довіряє: знаходить замовлення за номером і ключем, сам запитує результат в iyzico збереженим токеном і перевіряє підпис, токен, номер кошика, валюту й суму.
5. Замовлення переходить в «Обробляється» (або «Виконано») з Payment ID, розстрочкою і карткою в примітці.
6. Якщо покупець закрив вкладку, iyzico надсилає вебхук з підписом X-IYZ-SIGNATURE-V3. Плагін перевіряє підпис і так само сам запитує результат — замовлення не зависне «в очікуванні».
7. Колбек і вебхук одночасно не проведуть оплату двічі: застосування результату йде під блокуванням на рівні бази.

Скільки коштує

890 грн — ліцензія на рік. Рік оновлень, технічної підтримки та всіх Pro-функцій.

• 1 рік — 890 грн
• 2 роки — 1 690 грн (−5%, по 845 грн за рік)
• 3 роки — 2 350 грн (−12%, по 783 грн за рік)
• 4 роки — 2 920 грн (−18%, по 730 грн за рік)
• 5 років — 3 340 грн (−25%, по 668 грн за рік)

Автосписань немає: продовження вручну, нагадування приходять на пошту. Куплена ліцензія лишає Pro-функції працювати і після завершення терміну — термін оплачує оновлення й підтримку. Один ключ — один домен.

Спершу тріал, потім оплата. 7-денний безкоштовний Pro-тріал вмикається кнопкою в налаштуваннях плагіна, картка не потрібна. Свіжа установка — чиста Free-версія.

Технічні вимоги

• WooCommerce 6.0+ з класичним або блоковим чекаутом, сумісність з HPOS
• WordPress 6.2+ · PHP 7.4+
• Валюта магазину: TRY, USD, EUR, GBP, NOK, CHF, RUB або IRR. Для іншої валюти спосіб оплати ховається сам.
• Акаунт мерчанта iyzico для реальних оплат. Для пісочниці — безкоштовна реєстрація на sandbox-merchant.iyzipay.com.

Що під капотом

• Серверна перевірка результату: підпис HMAC-SHA256 відповіді iyzico (paymentStatus, paymentId, валюта, кошик, conversationId, суми, токен) звіряється з вашим секретним ключем.
• Токен з браузера не використовується для підтвердження — лише збережений при створенні платежу.
• Вебхук V3 з перевіркою підпису; непідписаний або підроблений запит отримує 401 і нічого не змінює.
• Ідемпотентність: оплачене чи повернене замовлення не відкотиться пізньою відповіддю, а подвійне підтвердження заблоковане на рівні бази.
• Облік повернень по кожній транзакції позиції: iyzico ніколи не отримає запит на суму, більшу за залишок.
• T.C. Kimlik No не зберігається в замовленні й не пишеться в лог — лише передається в iyzico.
• Секретні ключі в базі зашифровані, у лог не потрапляють.
• Переклади: турецька, українська, англійська.

Як встановити

1. Плагіни → Додати новий → Завантажити плагін: оберіть catcode-iyzico-checkout-for-woocommerce-1.0.0.zip і активуйте.
2. WooCommerce → Налаштування → Платежі → iyzico Checkout (CatCode).
3. Вставте API-ключ і секретний ключ з кабінету iyzico → Settings → Merchant Settings (для тесту — ключі пісочниці з префіксом sandbox-).
4. Натисніть «Перевірити ключі» і збережіть.
5. Скопіюйте URL вебхука внизу налаштувань у кабінет iyzico → Merchant Notifications.
6. Для Pro: вставте ліцензійний ключ або запустіть 7-денний тріал.

Історія версій

1.0.0 — вересень 2026

Перший реліз: iyzico Checkout Form з серверною перевіркою підпису, вебхуки V3, антифрод-статус, врівноважений кошик, поле T.C. Kimlik No, класичний і блоковий чекаут, HPOS, переклади tr/uk. Pro: повернення й скасування в день оплати, керування розстрочкою і комісією, журнал платежів.