Peptide-Pay API

Peptide-Pay dört entegrasyon modunu destekliyor. Kısıtlamalarına uyanı seç; alttaki API aynı.

Üç adım: session oluştur, müşteriyi yönlendir, webhook'u işle. Aşağıdaki örnek production-ready Node.js checkout route'u.

// Create a checkout session and redirect your customer.
// Authorization resolves the merchant wallet server-side — no wallet in the body.

const res = await fetch('https://peptide-pay.com/api/v1/checkout/init', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    Authorization: `Bearer ${process.env.PEPTIDEPAY_API_KEY}`, // sk_live_…
  },
  body: JSON.stringify({
    amount_cents: 5000,                       // €50.00 — integer, in cents
    currency: 'EUR',                          // EUR, USD, GBP, CAD, AUD, CHF
    email: 'buyer@example.com',               // optional, shown in checkout
    success_url: 'https://mystore.com/success',
    cancel_url:  'https://mystore.com/cart',
    webhook_url: 'https://mystore.com/api/peptidepay-webhook',
    metadata: { order_id: '1234' },
  }),
});

const { id, url, tracking_number } = await res.json();
// => { id: 'cs_abc…', url: 'https://peptide-pay.com/session/cs_abc…',
//      tracking_number: '0x…', provider: 'gateway', status: 'pending', … }

// Redirect your customer to the hosted checkout.
return Response.redirect(url, 303);

Happy path'in tamamı bu. Müşteri 'ta hosted checkout'a düşer, kart veya kripto seçer, webhook'un ödeme sonrası 30 saniye içinde tetiklenir.

Entegrasyon moduna göre iki şema:

Base URL: . Tüm endpoint'ler JSON konuşur, başarıda tek object döner, 4xx/5xx'te object döner.

Bir session terminal state'e ulaştığında yapılandırdığın 'e (session başına veya dashboard'da) imzalı bir JSON event POST ederiz. İmza doğrulama için her zaman request body'yi parse et — JSON'u yeniden serialize etmek key sırasını bozar ve HMAC kırılır.

POST /your-endpoint  HTTP/1.1
Host: mystore.com
Content-Type: application/json
x-peptidepay-signature: t=1745300551,v1=3f9b5c1e8a7d…    ← HMAC-SHA256, hex

{
  "event":      "order.paid",
  "session_id": "cs_abc123",
  "order_id":   "1234",
  "address_in": "0xAb12…",
  "status":     "paid",
  "amount":     5000,
  "currency":   "EUR",
  "txid":       "0xfa89b2…",
  "paid_at":    "2026-04-23T10:02:31.000Z",
  "attempt":    1
}

Bugün sadece teslim ediliyor — expired ve failed session'lar ile gözlemlenebilir (24 saat TTL sonrası status olur; terminal failure'lar gösterir). İleride bunlar için push event ekleyebiliriz.

Signup hesabı olan merchant'lar bir secret alır ve her teslimat formunda header taşır. hesapla ve ile constant-time karşılaştır. 5 dakikadan eskisini reddet.

// Node.js — Express/Next.js route handler
import crypto from 'node:crypto';

const SECRET = process.env.PEPTIDEPAY_WEBHOOK_SECRET; // dashboard → Webhooks

export async function POST(req) {
  const rawBody = await req.text();                 // MUST be the raw bytes
  const header  = req.headers.get('x-peptidepay-signature') ?? '';
  const [ tPart, v1Part ] = header.split(',');
  const t  = tPart?.split('=')[1];
  const v1 = v1Part?.split('=')[1];
  if (!t || !v1) return new Response('bad sig', { status: 400 });

  // Reject replays older than 5 minutes.
  if (Math.abs(Date.now() / 1000 - Number(t)) > 300)
    return new Response('stale', { status: 400 });

  const expected = crypto
    .createHmac('sha256', SECRET)
    .update(`${t}.${rawBody}`)
    .digest('hex');

  const ok =
    v1.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(v1, 'hex'), Buffer.from(expected, 'hex'));
  if (!ok) return new Response('invalid sig', { status: 401 });

  const event = JSON.parse(rawBody);
  // Idempotency: dedupe by event.session_id in your DB — retries re-fire
  // the same event (with an incrementing "attempt" field) until you 2xx.
  if (event.event === 'order.paid') {
    await markOrderPaid(event.order_id, event.txid);
  }
  return new Response('ok');
}

Non-2xx response'ları (ve >5sn timeout'ları) exponential backoff ile tekrar deneriz. ~42 saatte toplam altı deneme:

• Deneme 1 — onaydan hemen sonra.
• Deneme 2 — +5 dakika.
• Deneme 3 — +15 dakika.
• Deneme 4 — +1 saat.
• Deneme 5 — +4 saat.
• Deneme 6 — +12 saat, sonra +24 saat (son).

6 başarısız denemeden sonra event dead-letter olur. Mevcut state'i istediğin zaman ile yeniden talep edebilirsin.

Her teslimatta 'invalid signature' görüyorum

Framework'ün hash'lemeden önce body'yi JSON parse etti. RAW byte'ları oku (Express: express.raw({type:'*/*'}); Next.js: req.text(); Laravel: request()->getContent(); Rails: request.raw_post). Hash'lemeden önce asla yeniden serialize etme.

IP whitelist — hangi IP'lerden gönderiyorsunuz?

Teslimatlar şu anda Vercel Edge'den (dinamik IP'ler) geliyor. Statik aralık yayınlamıyoruz. MUTLAKA whitelist yapman gerekiyorsa, imza header'ını auth gate olarak kullan ve herhangi bir source IP'yi kabul et — HMAC gerçek kimlik kontrolü.

HTTPS zorunlu mu?

Evet. http:// endpoint'lere POST yapmayı reddederiz (confusable deputy / plaintext replay riski). ngrok'un ücretsiz https URL'i local test için gayet iyi.

Endpoint'im yavaş — 5sn timeout'u uzatabilir miyim?

Hayır. Hemen 2xx cevapla, sonra asenkron işle (job queue, setImmediate, goroutine). Uzun bloklayan handler'lar her zaman timeout olur.

API yeterince küçük, sadece gayet iyi — ama Node SDK sana type'ları, otomatik retry'ı ve imza doğrulamayı senin yerine yapan bir helper'ı veriyor.

// npm install github:kinerette/peptide-pay-sdk

import { PeptidePay } from 'peptide-pay';

const pp = new PeptidePay(process.env.PEPTIDEPAY_API_KEY);

// Create a session
const session = await pp.checkout.create({
  amount_cents: 5000,
  currency: 'EUR',
  customer_email: 'buyer@example.com',
  success_url: 'https://mystore.com/success',
  cancel_url:  'https://mystore.com/cart',
  metadata: { order_id: '1234' },
});

// Retrieve a session
const latest = await pp.sessions.retrieve(session.id);

// Verify + parse a webhook (throws on invalid signature)
app.post('/webhooks/peptidepay', express.raw({ type: '*/*' }), (req, res) => {
  const event = pp.webhooks.constructEvent(
    req.body,
    req.headers['x-peptidepay-signature'],
    process.env.PEPTIDEPAY_WEBHOOK_SECRET,
  );
  // event.event === 'order.paid' (currently the only event delivered)
  res.sendStatus(200);
});

Sabit — Peptide-Pay'in tam komisyonu. Subscription yok, aylık yok, chargeback komisyonu yok. Kart on-ramp komisyonları (~%4.5, upstream kart processor'dan) pass-through — müşteri öder, senin payout'una dokunmaz.

Çözümlü örneklerle tam breakdown: /fees.

Her yeni merchant hesabı bedava alır — %3 komisyonun tamamı 24 saat içinde wallet'a iade edilir. Canlıya almadan önce uçtan uca akışı (gerçek kart, gerçek USDC, gerçek webhook) prova etmek için bunları kullan.

• Sandbox mode otomatik: merchant başına ilk 3 ödenen session olarak işaretlenir ve auto-refund'a uygun olur.
• MoonPay dev kartı: , herhangi bir gelecek expiry, herhangi bir CVV, ZIP 10001.
• Local webhook testi: localhost'u ngrok ile expose et, URL'i her session'ın alanına yapıştır.

Tam local loop (ngrok)

# 1. Expose your local webhook endpoint
ngrok http 3000

# 2. Copy the https://xxxx.ngrok-free.app URL and paste it into
#    Dashboard → Webhooks → Endpoint URL, OR send it inline:
curl -X POST 'https://peptide-pay.com/api/v1/checkout/init' \
  -H "Authorization: Bearer $PEPTIDEPAY_API_KEY" \
  -H 'Content-Type: application/json' \
  -d '{
    "amount_cents": 100,
    "currency": "EUR",
    "customer_email": "test+sandbox@yours.com",
    "success_url": "https://yours.com/success",
    "cancel_url":  "https://yours.com/cart",
    "webhook_url": "https://xxxx.ngrok-free.app/webhooks/peptidepay"
  }'

# 3. Open the returned `url`, hit MoonPay's dev test card
#    4242 4242 4242 4242 (any future exp, any CVV).
# 4. Your local endpoint receives the signed POST within ~30s of payment.

Tüm hatalar yapısını paylaşır. Status code'lar standart REST.

Session dashboard'da 'paid' ama webhook'um hiç tetiklenmedi

webhook_url'inin public HTTPS üzerinden erişilebilir olduğunu kontrol et (LAN dışından curl at). Doğruysa, GET /sessions/{id} ile poll edip status'u onayla — dashboard /app webhook delivery istatistiklerini gösterir (başarı oranı, sayılar). Dead-letter'dan önce 42 saatte altı deneme; her zaman polling ile re-sync edebilirsin.

HMAC mismatch — imza her zaman geçersiz

%99 ihtimalle: raw byte'lar yerine yeniden serialize edilmiş body'yi hash'liyorsun. Framework'ler handler çalışmadan önce JSON'u otomatik parse eder; raw buffer'a ihtiyacın var. Next.js: herhangi bir .json()'dan önce req.text(). Express: app.use('/webhooks', express.raw({ type: '*/*' }), …). Rails: request.raw_post. Ayrıca `HMAC(whsec_secret, t + '.' + rawBody)` hesapladığını kontrol et — SADECE `HMAC(whsec_secret, rawBody)` DEĞİL. Timestamp prefix zorunlu.

MoonPay 'service unavailable in your country' diyor

MoonPay ~20 ülkeyi kısıtlıyor (İran, Kuzey Kore, Küba, tam liste sitelerinde). Default provider 'gateway' — akıllı seçici Revolut, Transak veya Banxa'ya fall-back yapar, farklı coğrafyaları kapsar. provider: 'moonpay' ile belirli bir provider sabitlediyeysen, kaldır ve router'ın seçmesine izin ver.

Wallet'ım 'paid' event'inden sonra USDC almadı

polygonscan.com/address/<your-wallet>i USDC (Polygon POS) transferler için kontrol et. Settlement %97 sana ve %3 Peptide-Pay'e düşer - %97 inbound'u görmüyorsan, init çağrısında yanlış wallet yapıştırmış olabilirsin. GET /sessions/{id} ile yeniden doğrula - txid alanı gerçek on-chain transfere işaret eder.

Müşteriden iki kez tahsilat yapıldı

Olmamalı. Her session'ın tek bir settlement addressIn'i var; aynı adrese ikinci bir ödeme bizde ayrı bir session olur ve sipariş için sadece ilkini credit ederiz. Olduysa iki polygonscan txid + session id ekran görüntüsü al ve hi@peptide-pay.com'a email at - duplicate'i hazinemizden iade ederiz.

502 'Payment infrastructure temporarily unavailable' alıyorum

Settlement upstream'imiz bozuk (request'lerin < %0.5'i). Aynı Idempotency-Key ile 30sn sonra tekrar dene - wallet başarıyla oluştuğu anda cache orijinal response'u döner. Canlı olaylar için /status takip et.