Как добавить оплату в проект, сделанный с ИИ

Когда проект на вайб-коде начинает приносить пользу, следующий шаг — брать за неё деньги. ИИ охотно пишет «оплату» за пять минут, и именно здесь чаще всего появляются дыры, которые стоят реальных денег: товар отдаётся без оплаты, сумму можно подменить, а один платёж засчитывается дважды.

Почему так происходит

• Сумма приходит из браузера. Фронтенд отправляет amount: 15000, сервер передаёт её в платёжку. Кто угодно может отправить amount: 1.
• Оплата по редиректу. Заказ отмечается оплаченным, когда пользователь попал на страницу успеха. Её адрес можно открыть вручную, а настоящий платёж мог не пройти.
• Нет проверки подписи. Обработчик вебхука принимает любой POST-запрос, и злоумышленник может «оплатить» заказ сам.
• Нет идемпотентности. Провайдеры повторяют уведомления, и без проверки заказ получает две оплаты или два списания бонусов.
• Пример из чужой страны. ИИ часто предлагает Stripe, который не работает для компаний из Казахстана.

Что проверить самому

1. Откройте DevTools → Network при оформлении заказа. Если в запросе на создание платежа видна сумма, попробуйте понять, проверяет ли её сервер.
2. Найдите в коде, где заказ получает статус «оплачен». Это должен быть обработчик вебхука, а не страница успеха.
3. Проверьте, есть ли в обработчике проверка подписи по секретному ключу провайдера.
4. Убедитесь, что секретные ключи платёжки лежат только на сервере.
5. Проверьте, что повторный вебхук с тем же идентификатором платежа ничего не меняет.

Логика правильного обработчика в упрощённом виде:

if (!verifySignature(req.body, req.headers, SECRET)) return res.status(400).end();
const order = await getOrder(req.body.orderId);
if (order.status === 'paid') return res.status(200).end(); // повтор
if (req.body.amount !== order.amount) return res.status(400).end();
await markPaid(order.id, req.body.paymentId);

Точная схема подписи у каждого провайдера своя — смотрите его документацию.

Когда звать разработчика. Если провайдер даёт готовую платёжную ссылку или виджет, а заказы вы подтверждаете вручную, можно начать и без разработки. Как только оплата должна автоматически открывать доступ, менять статус заказа, начислять бонусы или передавать данные в CRM, нужен серверный обработчик, написанный и проверенный человеком. Ошибка здесь стоит прямых денег: бесплатно выданный товар, двойное списание у клиента или жалоба в банк. Это та часть проекта, где «ИИ написал, вроде работает» — плохой критерий готовности.

Как чиним мы

Помогаем выбрать провайдера под ваш бизнес, проектируем модель заказа со статусами и историей платежей, подключаем API на сервере, пишем обработчик вебхуков с проверкой подписи и защитой от повторов. Отдельно обрабатываем возвраты, отмены и ситуации «оплатил, но закрыл вкладку». Если нужно, подключаем выдачу чеков и уведомления в CRM. Тестируем в песочнице провайдера, затем на реальном минимальном платеже. Подробнее — на странице «Аптечка вайб-кода».

Сколько стоит

Диагностика — 50 000 ₸, доработка функциональности — 80 000 ₸, итого от 130 000 ₸ для небольшого проекта с одним провайдером. Подписки, несколько способов оплаты или маркетплейс с выплатами считаются отдельно. Рассчитайте в калькуляторе. Перед подключением денег полезно навести порядок по правилам из статьи «Почему вайб-код ломается».