iPay.ua для WooCommerce — оплата картой через интернет-эквайринг

iPay.ua для WooCommerce — платёжный плагин, который принимает оплату картой через интернет-эквайринг iPay.ua (Checkout API). Покупатель переходит на защищённую страницу iPay.ua, платит картой Visa или Mastercard, а заказ в магазине подтверждается сам. Плагин не верит уведомлению на слово: на каждое он отдельно запрашивает у iPay.ua статус платежа и сверяет сумму, поэтому «оплатить» заказ поддельным запросом не получится.

Как это выглядит для покупателя

Если оплата не прошла, покупатель нажимает «Вернуться на сайт» и видит страницу оплаты заказа с пояснением и возможностью попробовать ещё раз или выбрать другой способ. Заказ при этом не теряется.

Что получает админ

• «Проверить доступы» — плагин отправляет подписанный запрос статуса несуществующего платежа. Правильные доступы iPay.ua подтверждает, неправильные отклоняет, а ни один платёж при этом не создаётся.
• Песочница на sandbox-checkout.ipay.ua с тестовыми картами из документации iPay.ua — интеграцию проверяете до того, как двигаются реальные деньги.
• URL для уведомлений показывается внизу настроек — его нужно один раз передать менеджеру iPay.ua, потому что адрес уведомлений iPay.ua прописывает на своей стороне.
• Статус после оплаты на ваш выбор: «Обработка» или сразу «Выполнен».

Как это работает — шаг за шагом

1. Покупатель на чекауте выбирает «Оплата картой (iPay.ua)» и подтверждает заказ.
2. Плагин создаёт платёж в iPay.ua (PaymentCreate) с суммой в копейках, описанием «Заказ №…», уникальным ext_id и ссылками возврата. Запрос подписывается вашим ключом по алгоритму HMAC-SHA512.
3. Покупатель платит на защищённой странице iPay.ua. Данные карты не проходят через ваш сайт.
4. iPay.ua отправляет уведомление. Плагин проверяет подпись, а затем отдельным запросом Status узнаёт у iPay.ua реальное состояние платежа — и уже по нему меняет заказ. Сумма из iPay.ua сверяется с суммой заказа: если оплачено меньше, заказ становится «На удержании» с заметкой.
5. Покупатель возвращается в магазин — статус сверяется ещё раз, поэтому «Заказ получен» показывается, только когда деньги действительно поступили.
6. Фоновая сверка каждые 10 минут подтягивает оплаты, уведомление о которых не дошло: например, пока iPay.ua ещё не подключил ваш URL уведомлений.
7. С Pro возврат делается прямо из карточки заказа: в день оплаты — отменой (Reversal), в следующие дни — возвратом (Refund), полным или частичным.

Что под капотом

• Уведомление — только триггер. Подпись Checkout API покрывает только «соль», а не содержимое уведомления, поэтому плагин никогда не берёт статус из тела запроса: заказ меняется только по ответу iPay.ua на запрос Status. Перехваченное и переделанное уведомление ничего не оплатит.
• Защита от двойной оплаты. Уведомление, возврат покупателя и фоновая сверка могут прийти в одну секунду — атомарная блокировка гарантирует одну заметку «оплата получена» и одно списание остатков. Кнопка «Назад» после оплаты не создаёт второй платёж.
• Финальные статусы не откатываются: поздний ответ «неуспешный» не сделает оплаченный заказ неоплаченным.
• Ключ подписи хранится в базе зашифрованным, а повторное сохранение настроек не портит его, даже если в ключе есть спецсимволы.
• Фискальный чек сходится до копейки: строки строятся из итогов строк заказа со скидками, доставкой и комиссиями, а разница округления учитывается явно.
• Безопасный разбор XML без внешних сущностей и сетевых запросов.
• Pro-гейт без «кирпича»: когда заканчивается триал, останавливаются только Pro-функции, а приём оплаты не ломается; после срока оплаченной лицензии Pro работает дальше, прекращаются только обновления и поддержка.

Как установить

1. Плагины → Добавить новый → Загрузить плагин: выберите ipay-ua-for-woocommerce-1.0.2.zip и активируйте.
2. Откройте WooCommerce → Настройки → Платежи → iPay.ua.
3. Для проверки включите «Песочница» и впишите тестовые Merchant ID и ключ подписи от iPay.ua. Сохраните и нажмите «Проверить доступы».
4. Скопируйте URL для уведомлений внизу страницы настроек и отправьте менеджеру iPay.ua.
5. Для реальных оплат выключите песочницу, впишите боевые Merchant ID и ключ подписи, сохраните и ещё раз проверьте доступы.
6. Для Pro: вставьте лицензионный ключ из письма после оплаты в поле лицензии или запустите 7-дневный триал.