POST https://api.syncra.money/api/v1/p2p/merchant/deals/payin

# 1. Сгенерируйте idempotency_key (UUID v4) — он должен быть уникален для каждого платежа.
IDEMPOTENCY_KEY=$(uuidgen | tr 'A-Z' 'a-z')

# 2. Тело запроса в точности так, как оно пойдёт по сети (без лишних пробелов).
BODY='{"amount":150000,"currency":"RUB","idempotency_key":"'"$IDEMPOTENCY_KEY"'","client_id":"player_9921","payment_method_id":"<UUID из шага 1>"}'

# 3. Рассчитайте HMAC-SHA256 подпись.
SECRET='whsec_your_webhook_secret_here'
TOKEN='mtoken_your_merchant_token_here'
TS=$(date +%s)
SIG=$(printf '%s.%s' "$TS" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | awk '{print $2}')

# 4. Отправьте запрос.
curl -X POST https://api.syncra.money/api/v1/p2p/merchant/deals/payin \
  -H "X-Merchant-Token: $TOKEN" \
  -H "X-Timestamp: $TS" \
  -H "X-Signature: t=$TS,v1=$SIG" \
  -H "Content-Type: application/json" \
  -d "$BODY"

{
  "deal": {
    "deal_id": "7ac148fe-19a3-45bb-b992-019fac55b721",
    "status": "ESCROW_LOCKED",
    "amount": "150000",
    "currency": "RUB",
    "payment_url": "https://checkout.syncra.money/pay/a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2",
    "created_at": "2026-08-03T12:00:00Z"
  }
}

// webhook.js — запуск: node webhook.js (нужен express: npm i express)
const crypto = require('crypto');
const express = require('express');

const WEBHOOK_SECRET = 'whsec_your_webhook_secret_here';
const app = express();

// ВАЖНО: подпись считается по СЫРОМУ телу. Поэтому перехватываем тело
// до JSON-парсинга и сохраняем как rawBody.
app.use('/callbacks/syncra', express.raw({ type: 'application/json' }));

app.post('/callbacks/syncra', (req, res) => {
  const rawBody = req.body.toString('utf8');            // сырое тело как строка
  const signatureHeader = req.get('X-Signature'); // t=...,v1=...

  // 1. Проверяем подпись V2.
  if (!verifySignature(rawBody, signatureHeader, WEBHOOK_SECRET)) {
    return res.status(401).json({ error: 'invalid signature' });
  }

  // 2. Парсим тело ТОЛЬКО после успешной проверки.
  const event = JSON.parse(rawBody);

  // 3. Обрабатываем событие. ВАЖНО: возвращаем 200 как можно быстрее —
  //    тяжёлую логику (зачисление депозита) выносим в фоновую очередь.
  if (event.event === 'deal.completed') {
    console.log(`Deposit confirmed: deal=${event.deal_id} amount=${event.amount}`);
    // creditPlayer(event.deal_id, event.amount); // ваша бизнес-логика
  }

  // 4. Возвращаем 200 — иначе Syncra будет ретраить webhook.
  res.status(200).json({ status: 'success' });
});

// Проверка HMAC-SHA256 по формату t={ts},v1={hex}
function verifySignature(rawBody, signatureHeader, secret) {
  if (!signatureHeader) return false;
  const tsPart = signatureHeader.split(',').find(p => p.startsWith('t='));
  const sigPart = signatureHeader.split(',').find(p => p.startsWith('v1='));
  if (!tsPart || !sigPart) return false;

  const timestamp = tsPart.substring(2);
  const provided = sigPart.substring(3);

  // Защита от replay: отклоняем запросы старше 5 минут.
  const age = Math.abs(Math.floor(Date.now() / 1000) - parseInt(timestamp, 10));
  if (age > 300) return false;

  const expected = crypto
    .createHmac('sha256', secret)
    .update(`${timestamp}.${rawBody}`)
    .digest('hex');

  // Сравнение защищено от timing-атак.
  return crypto.timingSafeEqual(
    Buffer.from(provided, 'utf8'),
    Buffer.from(expected, 'utf8'),
  );
}

app.listen(3000, () => console.log('Webhook server on :3000'));