iyzico Checkout для WooCommerce — оплата картой в Турции с рассрочкой

iyzico Checkout для WooCommerce — платёжный плагин для магазинов, которые продают в Турции через iyzico. Покупатель платит картой на защищённой странице iyzico с 3D Secure и рассрочкой (taksit), а заказ подтверждается только тогда, когда ваш сервер сам запросил у iyzico результат и проверил его подпись, сумму, валюту и корзину. Не браузер покупателя, не параметр в URL, а подписанный ответ iyzico.

Зачем ещё один плагин iyzico. Официальный плагин iyzico для WooCommerce стоит на 10 000 сайтов и имеет рейтинг 1,7 из 5: в отзывах жалуются на несовместимость с HPOS, белый экран после обновлений и заказы, которые «зависают» без статуса. Мы написали плагин вокруг четырёх вещей, которые должны работать всегда: серверная проверка оплаты, вебхук на случай закрытой вкладки, HPOS и блочный чекаут.

Что получает админ

• Песочница iyzico — интеграцию проверяете на тестовых ключах до реальных денег.
• «Проверить ключи» — один подписанный запрос к iyzico без создания платежа. О неправильных ключах вы узнаете в админке, а не от покупателя.
• Антифрод iyzico: платёж на проверке ставит заказ «На удержании» с примечанием «не отправляйте». Когда iyzico подтвердит — вебхук переведёт заказ в оплаченный.
• Pro-возвраты из карточки заказа: полный в день оплаты проходит как отмена (в выписке покупателя ничего не появляется), частичные раскладываются по позициям корзины с учётом того, сколько уже возвращено.
• Pro-рассрочка: выбираете, какие варианты (tek çekim, 2, 3, 6, 9, 12 taksit) показывает страница оплаты, и при желании добавляете комиссию за рассрочку в заказ отдельной строкой.

Как это работает — шаг за шагом

1. Покупатель в чекауте выбирает оплату картой через iyzico и подтверждает заказ.
2. Плагин создаёт Checkout Form в iyzico: покупатель, адреса, корзина. Позиции корзины всегда в сумме дают сумму заказа до копейки (скидки, доставка и округление уравновешиваются), поэтому iyzico не отклоняет запрос из-за расхождения суммы. Запрос подписывается IYZWSv2 (HMAC-SHA256), ответ iyzico проверяется по подписи.
3. Покупатель платит на странице iyzico: 3D Secure, рассрочка, кошелёк iyzico.
4. iyzico возвращает покупателя с токеном. Плагин токену не доверяет: находит заказ по номеру и ключу, сам запрашивает результат в iyzico сохранённым токеном и проверяет подпись, токен, номер корзины, валюту и сумму.
5. Заказ переходит в «Обработка» (или «Выполнен») с Payment ID, рассрочкой и картой в примечании.
6. Если покупатель закрыл вкладку, iyzico отправляет вебхук с подписью X-IYZ-SIGNATURE-V3. Плагин проверяет подпись и так же сам запрашивает результат — заказ не зависнет «в ожидании».
7. Колбэк и вебхук одновременно не проведут оплату дважды: результат применяется под блокировкой на уровне базы.

Что под капотом

• Серверная проверка результата: подпись HMAC-SHA256 ответа iyzico (paymentStatus, paymentId, валюта, корзина, conversationId, суммы, токен) сверяется с вашим секретным ключом.
• Токен из браузера не используется для подтверждения — только сохранённый при создании платежа.
• Вебхук V3 с проверкой подписи; неподписанный или поддельный запрос получает 401 и ничего не меняет.
• Идемпотентность: оплаченный или возвращённый заказ не откатится поздним ответом, а двойное подтверждение заблокировано на уровне базы.
• Учёт возвратов по каждой транзакции позиции: iyzico никогда не получит запрос на сумму больше остатка.
• T.C. Kimlik No не сохраняется в заказе и не пишется в лог — только передаётся в iyzico.
• Секретные ключи в базе зашифрованы, в лог не попадают.
• Переводы: турецкий, украинский, английский.

Как установить

1. Плагины → Добавить новый → Загрузить плагин: выберите catcode-iyzico-checkout-for-woocommerce-1.0.2.zip и активируйте.
2. WooCommerce → Настройки → Платежи → iyzico Checkout (CatCode).
3. Вставьте API-ключ и секретный ключ из кабинета iyzico → Settings → Merchant Settings (для теста — ключи песочницы с префиксом sandbox-).
4. Нажмите «Проверить ключи» и сохраните.
5. Скопируйте URL вебхука внизу настроек в кабинет iyzico → Merchant Notifications.
6. Для Pro: вставьте лицензионный ключ или запустите 7-дневный триал.