Alfa API: {callbackUri} — Партнёрский метод для получения вебхуков

Метод реализуется партнёром. При успешной обработке должен вернуть любой код 2xx; тело входящего запроса — массив событий.

Документация: https://developers.alfabank.ru/products/alfa-api/documentation/articles/webhooks/articles/partner-webhook/v1/partner-webhook

Параметр	Где	Тип	Обяз.	Описание
actionType	body	string	да	Тип действия с объектом
eventTime	body	string	да	Время события
object	body	string	да	Тип объекта события
data	body	object	да	Данные события
organizationId	body	string	нет	Идентификатор организации
sub	body	string	нет	Идентификатор пользователя

Базовые URL

• Боевой хост: https://baas.alfabank.ru
• Тестовый хост: https://sandbox.alfabank.ru
• Авторизация пользователя в боевой среде: https://id.alfabank.ru/oidc/authorize
• Авторизация пользователя в песочнице: https://id-sandbox.alfabank.ru/oidc/authorize
• Продукты и сервисы: https://baas.alfabank.ru/api
• Продукты и сервисы в песочнице: https://sandbox.alfabank.ru/api
• Alfa ID: https://baas.alfabank.ru/oidc
• Alfa ID в песочнице: https://sandbox.alfabank.ru/oidc

Авторизация

Тип: OAuth 2.0

Alfa ID использует OAuth 2.0/OIDC. Для Authorization Code Flow нужны client_id, client_secret, redirect_uri и scopes подключённых продуктов; токен передаётся в заголовке Authorization: Bearer {access_token}. Alfa ID подходит для всех типов интеграций и продуктов.

Для части B2B- и H2H-методов доступен API Key: передавай Authorization: ApiKey {API Key}. Внутренний ключ предназначен для операций по своей компании, внешний — по другой компании; API Key доступен не для всех продуктов, поэтому проверяй описание конкретного метода.

Нюансы

• В песочнице все вызовы Alfa API должны выполняться с mTLS. Тестовый сертификат и закрытый ключ выдаются после подключения; негативные сценарии песочницы могут отличаться от промышленной среды и спецификации метода.
• Код авторизации действует две минуты и используется один раз. access_token действует один час; refresh_token — 180 дней и может быть использован не более двух раз, после обновления сохраняй новую пару токенов.
• При Content-Type: application/x-www-form-urlencoded в cURL специальные символы client_secret нужно экранировать; redirect_uri экранировать не нужно. При отправке через Postman в режиме x-www-form-urlencoded специальное экранирование не требуется.
• API Key действует один год или бессрочно, но автоматически отзывается, если после последнего запроса прошло более 30 дней.
• statementDate допускает даты не ранее пяти лет от первого дня текущего года. Одна страница выписки содержит не больше 1000 операций.
• externalId платёжного поручения назначает партнёр. Документация требует UUID; в песочнице для каждого нового теста генерируй уникальное значение.
• Платёж без digestSignatures сохраняется в начальном статусе и ожидает подписания в Альфа-Бизнес. Для платёжного поручения по собственному счёту можно передать одну или две подписи.
• Партнёрский обработчик вебхука рекомендуется завершать не более чем за 300 мс. Если приходит 4xx/5xx, ответ не получен за пять секунд или соединение не установлено, банк повторяет доставку через 30 секунд, 5 и 30 минут, 1, 3, 6, 12, 24, 48 и 72 часа.
• Дубли вебхуков по выписке нужно определять по transactionId, по входящим платежам СБП — по nspkTransactionId; на дубликат всё равно возвращай 2xx.
• Старые версии endpoint’ов поддерживаются от двух до шести месяцев. Переход на новую версию нужно предварительно тестировать в песочнице.
• Сохраняй заголовок ответа x-traceid: при обращении в поддержку банк просит передать X-TraceId вместе с датой, временем, URI, заголовками и телом запроса.

Сценарии с этим методом

• Получать уведомления по операциям

---

Если этого недостаточно — официальная документация: https://developers.alfabank.ru/products/alfa-api/documentation/articles/webhooks/articles/partner-webhook/v1/partner-webhook Вся интеграция одним документом: https://mcp-everything.ru/integrations/alfa-bank-api.md