Как подключить yespay

curl -X POST https://api.getyespay.com/v1/payments \
  -H "Authorization: Bearer sk_test_..." \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: ORDER-1001" \
  -d '{
    "amount": 14990,
    "currency": "KZT",
    "customer": { "phone": "+77001234567" },
    "order_id": "ORDER-1001",
    "description": "Заказ №1001"
  }'

HTTP/1.1 201 Created

{
  "id": "pay_3Nq8xVb2...",
  "object": "payment",
  "status": "pending",
  "amount": 14990,
  "currency": "KZT",
  "order_id": "ORDER-1001",
  "customer": { "phone": "+77001234567" },
  "provider": "kaspi",
  "method": "remote_invoice",
  "receipt_url": null,
  "qr": null,
  "livemode": false,
  "refunded_amount": 0,
  "expires_at": "2026-09-06T09:15:00.000Z",
  "paid_at": null,
  "created_at": "2026-09-06T09:00:00.000Z",
  "metadata": null
}

import crypto from 'node:crypto';
import express from 'express';

const app = express();
const SECRET = process.env.YESPAY_WEBHOOK_SECRET;

// ВАЖНО: подпись считается по СЫРОМУ телу. JSON.parse -> JSON.stringify
// меняет байты и ломает проверку.
app.post('/webhooks/yespay', express.raw({ type: 'application/json' }), async (req, res) => {
  const header = req.get('X-Yespay-Signature') ?? '';
  const parts = Object.fromEntries(header.split(',').map((p) => p.trim().split('=')));
  const timestamp = Number(parts.t);
  const raw = req.body.toString('utf8');

  // 1. Возраст события — защита от переигрывания старой записи.
  if (!Number.isFinite(timestamp) || Math.abs(Date.now() / 1000 - timestamp) > 300) {
    return res.status(400).send('stale');
  }

  // 2. Подпись — сравнение в постоянном времени.
  const expected = crypto.createHmac('sha256', SECRET).update(timestamp + '.' + raw).digest('hex');
  const ok =
    parts.v1?.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(parts.v1), Buffer.from(expected));
  if (!ok) return res.status(400).send('bad signature');

  const event = JSON.parse(raw);

  // 3. Дедупликация: повтор того же X-Yespay-Event-Id — не второй платёж.
  if (await alreadyProcessed(req.get('X-Yespay-Event-Id'))) return res.status(200).send('ok');

  if (event.type === 'payment.paid') {
    await markOrderPaid(event.data.order_id, event.data.id, event.data.amount);
  }

  // 4. Отвечайте 2xx быстро; тяжёлую работу — в очередь.
  res.status(200).send('ok');
});

curl https://api.getyespay.com/v1/payments/pay_3Nq8xVb2... \
  -H "Authorization: Bearer sk_test_..."