Магазины (shop_id / API-токен)
Allow-list пар { shopId, apiToken }. Неверный Bearer-токен → документированный 401 Unauthenticated; чужой shop_id на bill/create → 403 api:error.merchant_not_found. Токен же подписывает postback (md5 OutSum:InvId:apiToken).
URL магазина (настройки «кабинета»)
Result URL — подписанный postback (ждёт HTTP 200, переотправка по расписанию 10^n секунд); Success/Fail URL — POST-редирект плательщика с той же подписью.
Счета и платежи
Статус меняется сразу; postback уходит немедленно (задержку выбирают на странице оплаты). Multi-счета принимают много платежей и остаются NEW.
Доставка postback (Result URL)
Запросы от бэкенда
Danger zone
wipes payments, logs and every runtime override — back to configured defaults