API для розробників

curl -X POST https://mcr.procrm.ua/api/v1/links \
  -H "Authorization: Bearer $MCR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "recipient": { "name": "ТОВ «Приклад»", "iban": "UA213223130000026007233566001", "code": "41234569" },
    "purpose": "Оплата за замовленням 1042",
    "amount": 1250.50,
    "validUntil": "2026-11-30",
    "externalId": "order-1042"
  }'

const res = await fetch("https://mcr.procrm.ua/api/v1/links", {
  method: "POST",
  headers: { Authorization: `Bearer ${process.env.MCR_API_KEY}`, "Content-Type": "application/json" },
  body: JSON.stringify({
    recipientId: "6f1c0a52-2a8e-4c4b-9a39-0b3e7f6a1d20",
    purpose: "Оплата за замовленням 1042",
    amount: 1250.5,
    externalId: "order-1042",
  }),
});
const link = await res.json();
if (!res.ok) throw new Error(link.error.message);
// link.url: сторінка оплати з QR-кодом, link.shareText: готовий текст для месенджера

{
  "error": {
    "code": "validation_failed",
    "message": "Перевірте поля в fields",
    "fields": {
      "recipient.iban": "Контрольна сума не збігається: перевірте цифри",
      "amount": "Сума має бути більшою за нуль"
    }
  }
}

{
  "id": "0b8e6f1c-5d0a-4f43-9a8e-2f1d3c4b5a69",
  "slug": "k7m2q9xa",
  "url": "https://mcr.procrm.ua/p/k7m2q9xa",
  "pdfUrl": "https://mcr.procrm.ua/p/k7m2q9xa/pdf",
  "status": "active",
  "title": "Замовлення 1042",
  "amount": 1250.5,
  "currency": "UAH",
  "currencyAmount": null,
  "rate": null,
  "rateSource": null,
  "rateDate": null,
  "markupPercent": null,
  "items": [],
  "recipient": { "name": "ТОВ «Приклад»", "iban": "UA213223130000026007233566001", "code": "41234569" },
  "purpose": "Оплата за замовленням 1042 (код оплати k7m2q9xa)",
  "validUntil": "2026-11-30",
  "paidAt": null,
  "externalId": "order-1042",
  "metadata": { "chatId": "tg-55120" },
  "views": 0,
  "shareText": "До сплати: 1 250,50 грн\nОдержувач: ТОВ «Приклад»\n…",
  "createdAt": "2026-10-29T12:00:00.000Z",
  "updatedAt": "2026-10-29T12:00:00.000Z"
}

{
  "recipientId": "6f1c0a52-2a8e-4c4b-9a39-0b3e7f6a1d20",
  "purpose": "Оплата за рахунком № 77",
  "currency": "EUR",
  "markupPercent": 1.5,
  "items": [
    { "name": "Ліцензія, 12 місяців", "qty": 3, "price": 120 },
    { "name": "Налаштування", "qty": 1, "price": 200 }
  ]
}

{ "data": [ { "id": "0b8e6f1c-…", "status": "paid", … } ], "nextCursor": "0b8e6f1c-5d0a-4f43-9a8e-2f1d3c4b5a69" }

{ "data": [ { "id": "6f1c0a52-2a8e-4c4b-9a39-0b3e7f6a1d20", "name": "ТОВ «Приклад»", "iban": "UA213223130000026007233566001", "code": "41234569", "createdAt": "2026-10-20T09:00:00.000Z" } ] }

POST /your/webhook HTTP/1.1
Content-Type: application/json
User-Agent: MCR-Webhooks/1.0
X-MCR-Event: link.paid
X-MCR-Delivery: 9d2f4c1e-7a3b-4e8f-b1c2-5a6d7e8f9a0b
X-MCR-Signature: t=1793275500,v1=5f0c2b…

{
  "id": "3c1e2d4f-6a7b-4c8d-9e0f-1a2b3c4d5e6f",
  "type": "link.paid",
  "createdAt": "2026-10-29T12:05:00.000Z",
  "data": { "link": { "id": "0b8e6f1c-…", "status": "paid", "paidAt": "2026-10-29T12:04:31.000Z", "externalId": "order-1042", … } }
}

import { createHmac, timingSafeEqual } from "node:crypto";

/** rawBody: тіло запиту як рядок або Buffer, до JSON.parse. */
export function verifyMcrSignature(rawBody, header, secret, toleranceSec = 300) {
  const parts = Object.fromEntries(header.split(",").map((p) => p.trim().split("=", 2)));
  const t = Number(parts.t);
  if (!Number.isInteger(t) || Math.abs(Date.now() / 1000 - t) > toleranceSec) return false;
  const expected = Buffer.from(createHmac("sha256", secret).update(`${t}.${rawBody}`).digest("hex"));
  const got = Buffer.from(parts.v1 ?? "");
  return got.length === expected.length && timingSafeEqual(got, expected);
}

function verify_mcr_signature(string $rawBody, string $header, string $secret, int $tolerance = 300): bool {
    $parts = [];
    foreach (explode(',', $header) as $part) {
        [$key, $value] = array_pad(explode('=', trim($part), 2), 2, '');
        $parts[$key] = $value;
    }
    $t = (int) ($parts['t'] ?? 0);
    if ($t === 0 || abs(time() - $t) > $tolerance) return false;
    $expected = hash_hmac('sha256', $t . '.' . $rawBody, $secret);
    return hash_equals($expected, $parts['v1'] ?? '');
}

$raw = file_get_contents('php://input');
if (!verify_mcr_signature($raw, $_SERVER['HTTP_X_MCR_SIGNATURE'] ?? '', getenv('MCR_WEBHOOK_SECRET'))) {
    http_response_code(400);
    exit;
}
$event = json_decode($raw, true);
http_response_code(200);

import hashlib, hmac, time

def verify_mcr_signature(raw_body: bytes, header: str, secret: str, tolerance: int = 300) -> bool:
    parts = dict(p.strip().split("=", 1) for p in header.split(",") if "=" in p)
    try:
        t = int(parts.get("t", ""))
    except ValueError:
        return False
    if abs(time.time() - t) > tolerance:
        return False
    expected = hmac.new(secret.encode(), f"{t}.".encode() + raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, parts.get("v1", ""))