Подключите приём платежей
и выплат к своей системе

Введение

API работает поверх HTTPS и обменивается данными в формате JSON (кроме создания диспута, где чек загружается как multipart/form-data). Базовый адрес для всех запросов из этого раздела документации:

{BASE_URL}/api/merchant

{BASE_URL} — домен, на котором развёрнут ваш личный кабинет LEON. Все пути ниже указаны относительно этого адреса.

Заявка «Вход» за три шага

1. Мерчант создаёт заявку — POST /payin/create — и получает реквизит, на который клиент должен перевести средства.
2. Клиент переводит деньги; трейдер подтверждает получение в своей панели (или заявка отменяется по истечении времени жизни).
3. LEON отправляет вебхук payment.success или payment.cancelled на ваш URL — на этом заявка завершена.

curl -X POST {BASE_URL}/api/merchant/payin/create \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "amount_rub": 5000,
    "rate": 95.40,
    "payment_methods": ["sbp"],
    "external_id": "order-10231"
  }'

const res = await fetch("{BASE_URL}/api/merchant/payin/create", {
  method: "POST",
  headers: {
    "Authorization": "Bearer sk_live_...",
    "Content-Type": "application/json",
  },
  body: JSON.stringify({
    amount_rub: 5000,
    rate: 95.40,
    payment_methods: ["sbp"],
    external_id: "order-10231",
  }),
});

const payin = await res.json();

import requests

response = requests.post(
    "{BASE_URL}/api/merchant/payin/create",
    headers={"Authorization": "Bearer sk_live_..."},
    json={
        "amount_rub": 5000,
        "rate": 95.40,
        "payment_methods": ["sbp"],
        "external_id": "order-10231",
    },
)

payin = response.json()

01Аутентификация

Каждый запрос подписывается API-ключом в заголовке Authorization. Ключи выпускаются в личном кабинете мерчанта, в разделе «API-ключи» — сгенерируйте отдельный ключ для каждой интеграции, а не переиспользуйте один и тот же ключ везде.

Authorization: Bearer sk_live_7f2c9a1e4b8d6f0a3c5e7b9d1f3a5c7e

Окружения

Ключ несёт префикс окружения — используйте тестовый ключ на стейджинге, чтобы не создавать реальные заявки.

Права доступа

При создании ключа вы выбираете, какие права ему выдать. Запрос к эндпоинту без нужного права вернёт 403.

IP-белый список

При создании ключа можно ограничить его список IP-адресов, с которых он принимается — запрос с адреса вне списка получит 403. Оставьте список пустым, чтобы разрешить любой адрес.

02Ошибки

Все ответы API — включая ошибки — приходят в формате JSON одной и той же формы:

{
  "status": "error",
  "message": "Недостаточно USDT на балансе"
}

03Формат данных

Единые соглашения, которые действуют во всех эндпоинтах и вебхуках ниже.

Идемпотентность

POST /payin/create идемпотентен по external_id. Если ваш запрос не долетел до вас (таймаут, обрыв сети, краш до чтения ответа) — просто повторите его с тем же external_id: вместо второй заявки вы получите тот же самый объект, который был создан первым запросом, с его актуальным текущим статусом.

• Идемпотентность работает только если вы передали external_id — без него каждый запрос создаёт новую заявку.
• Повтор с той же суммой — возвращается существующая заявка, 200, баланс/лимит трейдера не трогается повторно.
• Повтор с другой суммой под тем же external_id — расценивается как ошибка использования ключа, а не как новая заявка: 400.

04Курс USDT/RUB

Возвращает средний курс между лучшим bid и ask в спотовом стакане Rapira (пара USDT/RUB). Значение кешируется на 30 секунд — ровно так же курс обновляется в шапке торговой панели трейдера.

curl {BASE_URL}/api/merchant/rate \
  -H "Authorization: Bearer sk_live_..."

{ "rate": 95.42 }

05Вход (PayIn)

Заявка на приём средств от клиента. При создании система подбирает активного трейдера, у которого есть реквизит под нужный способ перевода, банк и лимиты — заявка возвращает реквизит, на который клиент должен отправить деньги.

Статусы заявки

curl -X POST {BASE_URL}/api/merchant/payin/create \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "amount_rub": 5000,
    "rate": 95.40,
    "payment_methods": ["sbp"],
    "bank": "any",
    "external_id": "order-10231"
  }'

{
  "id": 764,
  "status": "pending",
  "trader_name": "Trader #1",
  "client_bank": "СБП · +7 916 987-65-43",
  "rate": 95.4,
  "amount_usdt": 52.41,
  "expires_at": "2026-08-03 14:54:31"
}

curl "{BASE_URL}/api/merchant/payin/list?statuses=pending,success&per_page=20" \
  -H "Authorization: Bearer sk_live_..."

{
  "data": [
    {
      "id": 764,
      "date": "2026-08-03 14:39:31",
      "amount_rub": 5000,
      "rate": 95.4,
      "amount_usdt": 52.41,
      "status": "success",
      "client_bank": "СБП · +7 916 987-65-43",
      "external_id": "order-10231",
      "expires_at": "2026-08-03 14:54:31",
      "payment_methods": ["sbp"],
      "bank": "any"
    }
  ],
  "total": 1,
  "page": 1,
  "per_page": 20
}

curl {BASE_URL}/api/merchant/payin/764 \
  -H "Authorization: Bearer sk_live_..."

{
  "id": 764,
  "amount_rub": 5000,
  "rate": 95.4,
  "amount_usdt": 52.41,
  "status": "success",
  "client_bank": "СБП · +7 916 987-65-43",
  "external_id": "order-10231",
  "trader_id": 1,
  "trader_name": "Trader #1",
  "created_at": "2026-08-03 14:39:31",
  "updated_at": "2026-08-03 14:41:02",
  "expires_at": "2026-08-03 14:54:31",
  "payment_methods": ["sbp"],
  "bank": "any",
  "history": [
    { "time": "2026-08-03 14:39:31", "status": "pending" },
    { "time": "2026-08-03 14:41:02", "status": "success" }
  ]
}

curl -X POST {BASE_URL}/api/merchant/payin/764/cancel \
  -H "Authorization: Bearer sk_live_..."

{ "status": "cancelled" }

06Диспуты

Если заявка на Вход была отменена, а клиент утверждает, что перевод всё же ушёл — откройте диспут и приложите чек. Открыть диспут можно только по заявке в статусе cancelled, и только один активный диспут на заявку одновременно.

Статусы диспута

curl -X POST {BASE_URL}/api/merchant/disputes/create \
  -H "Authorization: Bearer sk_live_..." \
  -F "transaction_id=764" \
  -F "reason=Клиент прислал чек об успешном переводе" \
  -F "file=@receipt.pdf"

{
  "id": 42,
  "status": "pending_trader",
  "expires_at": "2026-08-03 15:24:31"
}

{
  "data": [
    {
      "id": 42,
      "transaction_id": 764,
      "amount_rub": 5000,
      "amount_usdt": 52.41,
      "status": "resolved_merchant",
      "reason": "Клиент прислал чек…",
      "created_at": "2026-08-03 14:54:31",
      "expires_at": "2026-08-03 15:24:31",
      "is_overdue": false
    }
  ],
  "total": 1, "page": 1, "per_page": 20
}

{
  "id": 42,
  "transaction_id": 764,
  "amount_rub": 5000,
  "amount_usdt": 52.41,
  "status": "resolved_merchant",
  "reason": "Клиент прислал чек…",
  "has_receipt": true,
  "created_at": "2026-08-03 14:54:31",
  "expires_at": "2026-08-03 15:24:31",
  "is_overdue": false
}

curl {BASE_URL}/api/merchant/disputes/for-transaction/764 \
  -H "Authorization: Bearer sk_live_..."

{ "dispute_id": 42, "status": "pending_trader" }

{ "status": "cancelled_merchant" }

curl {BASE_URL}/api/merchant/disputes/42/receipt \
  -H "Authorization: Bearer sk_live_..." \
  -o receipt.pdf

07Баланс

Баланс мерчанта хранится в USDT. Пополняется автоматически при успешных заявках на Вход.

{
  "balance": 1284.56,
  "reserved": 120.00,
  "available": 1164.56
}

curl -X POST {BASE_URL}/api/merchant/balance/withdraw \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "amount": 250,
    "network": "trc20",
    "address": "TXy2Ss9K...pQ7m"
  }'

{ "id": 88, "status": "pending" }

{
  "data": [
    {
      "id": 88,
      "type": "withdraw",
      "amount": 250,
      "status": "success",
      "tx_hash": "0x91a…",
      "network": "trc20",
      "address": "TXy2Ss9K...pQ7m",
      "created_at": "2026-08-03 10:02:00",
      "updated_at": "2026-08-03 10:14:20"
    }
  ],
  "total": 1, "page": 1, "per_page": 20
}

08Вебхуки

LEON отправляет POST-запрос на ваш URL при каждом событии, на которое вы подписаны. Настройте URL и события в личном кабинете (раздел «Вебхуки») либо через API ниже.

События

Тело запроса

Каждое событие оборачивается общими полями event и sent_at:

{
  "event": "payment.success",
  "sent_at": "2026-08-03 14:41:02",
  "transaction_id": 764,
  "external_id": "order-10231",
  "amount_rub": 5000,
  "amount_usdt": 52.41,
  "status": "success"
}

{
  "event": "dispute.resolved",
  "sent_at": "2026-08-03 15:10:44",
  "dispute_id": 42,
  "transaction_id": 764,
  "resolution": "resolved_merchant",
  "amount_usdt": 52.41
}

Проверка подписи

Каждый запрос подписывается HMAC-SHA256 по вашему секрету вебхука и точному телу запроса, подпись передаётся в заголовке X-Leon-Signature. Секрет доступен в личном кабинете (раздел «Вебхуки») либо через GET /webhook-secret — сверяйте подпись перед тем, как доверять содержимому запроса.

X-Leon-Signature: 3f9a1c...e07b2d

const crypto = require("crypto");

function isValidSignature(rawBody, signatureHeader, secret) {
  const expected = crypto
    .createHmac("sha256", secret)
    .update(rawBody) // необработанное тело запроса, без JSON.parse
    .digest("hex");

  return crypto.timingSafeEqual(
    Buffer.from(expected),
    Buffer.from(signatureHeader),
  );
}

import hmac
import hashlib

def is_valid_signature(raw_body: bytes, signature_header: str, secret: str) -> bool:
    expected = hmac.new(secret.encode(), raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, signature_header)

Ретраи и таймауты

Ваш эндпоинт должен ответить в течение 5 секунд. Доставка — «по возможности»: если вебхук выключен или не подписан на событие — заявка или диспут всё равно обрабатываются штатно, событие просто не отправляется. Если вебхук включён, но ваш эндпоинт ответил с кодом вне диапазона 200–299 (или не ответил вовремя) — попытка считается неудачной и повторяется автоматически:

Как только любая попытка получает ответ 200–299 — цепочка останавливается. После 4-й неудачной попытки LEON прекращает попытки по этому событию. Каждая попытка — отдельная строка в истории доставок, с номером в поле attempt — так вы отличите повтор одного и того же события от двух разных событий. Если все 4 попытки провалились (эндпоинт был недоступен дольше ~12 минут) — сверяйте состояние вручную через GET-эндпоинты по id из последнего известного события.

{
  "url": "https://shop.example.com/leon/webhook",
  "events": ["payment.success", "payment.cancelled"],
  "status": "active"
}

{
  "data": [
    {
      "id": 1205,
      "url": "https://shop.example.com/leon/webhook",
      "event": "payment.success",
      "attempt": 2,
      "response_code": 200,
      "response_time_ms": 211,
      "created_at": "2026-08-03 14:41:32"
    },
    {
      "id": 1204,
      "url": "https://shop.example.com/leon/webhook",
      "event": "payment.success",
      "attempt": 1,
      "response_code": 503,
      "response_time_ms": 184,
      "created_at": "2026-08-03 14:41:02"
    }
  ],
  "total": 2, "page": 1, "per_page": 20
}

curl -X POST {BASE_URL}/api/merchant/webhook-test \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "url": "https://shop.example.com/leon/webhook",
    "event": "payment.success"
  }'

09Справочник

Сводные таблицы для быстрого поиска — без пересказа деталей из разделов выше.

Жизненный цикл заявок

pending
  ├─ трейдер подтвердил ───────────▶ success
  └─ отменена / истекло время ─────▶ cancelled
                                        └─ открыт диспут ─▶ см. Dispute ниже

open / pending_trader
  ├─ решён в пользу мерчанта ───▶ resolved_merchant   (заявка PayIn → success)
  ├─ решён в пользу трейдера ───▶ resolved_psp        (заявка остаётся cancelled)
  └─ отозван мерчантом ─────────▶ cancelled_merchant  (заявка остаётся cancelled)

Лимиты

Карта эндпоинтов