Коллекция Public API GMXAZ Bot

Введение

API предоставляет каталог, проверку игрока, покупку ваучеров и пополнений, отслеживание заказов, проверку кодов и подписанные webhook для клиентов. Данные внутренних провайдеров никогда не включаются в ответы API и webhook для клиента.

Авторизация и безопасность

Передавайте приватный API ключ в заголовке X-API-KEY каждого защищённого запроса. Храните его только на backend. Не размещайте ключ в браузерном коде, Mini App, мобильной сборке или открытом репозитории.

X-API-KEY: YOUR_API_KEY
Accept: application/json

Идемпотентность

При создании заказа передавайте уникальный UUID в X-Idempotency-Key. Повтор с тем же ключом и телом вернёт существующий заказ. Повтор с другим телом вернёт IDEMPOTENCY_CONFLICT. В сгенерированной коллекции Postman не меняйте ключ операции при повторной попытке; очищайте его только перед новой финансовой операцией.

X-Idempotency-Key: 550e8400-e29b-41d4-a716-446655440000

Процесс заказа

1. Загрузите игры, категории и товары. Используйте актуальную цену, наличие, список полей и требование проверки игрока.
2. Проверьте игрока, если supports_player_validation равен true или товар требует обязательную проверку.
3. Создайте заказ с UUID ключом идемпотентности и при необходимости передайте callback_url и callback_mode.
4. Отслеживайте заказ через GET /order/{id}, GET /orders или подписанные webhook до финального статуса.

Webhooks

Если API заказ содержит callback_url, платформа отправляет на него подписанные JSON обновления. Webhook содержит только данные заказа, товара, игрока, цены, статуса, выдачи и требуемого действия клиента. Названия, URL, ID заказов и сырые ответы внутренних провайдеров не раскрываются.

Режимы callback

Заголовки webhook

Требования к callback URL

• Принимаются только HTTPS URL.
• Принимается только порт 443.
• Частные, зарезервированные и localhost адреса блокируются.
• Учётные данные в URL не принимаются.
• Перенаправления не выполняются.
• Сервер должен вернуть ответ 2xx.

График повторных попыток

1 → 1 минута → 2 → 5 минут → 3 → 15 минут → 4-6 → 60 минут → 7-20 → 6 часов · Максимум 20 попыток доставки.

{
    "event_id": "47c8c6ba-16a5-4089-9f62-7ae1e51d4c0f",
    "order_id": 8821,
    "client_order_id": "order-10001",
    "status": "COMPLETED",
    "product_name": "Steam Wallet 10 USD",
    "qty": 2,
    "player_id": null,
    "player_name": null,
    "server_id": null,
    "region": null,
    "price": "19.9800",
    "currency": "USD",
    "delivery": [
        "CODE-ONE-XXXX",
        "CODE-TWO-XXXX"
    ],
    "manual_action_required": false,
    "delivery_message": null,
    "timestamp": "2026-07-25T13:31:10+04:00"
}

{
    "event_id": "47c8c6ba-16a5-4089-9f62-7ae1e51d4c0f",
    "event": "order.status_changed",
    "callback_mode": "events",
    "order_id": 8821,
    "client_order_id": "order-10001",
    "product_id": 91,
    "product_name": "PUBG Mobile 60 UC",
    "product_type": "TOPUP",
    "game_id": 1,
    "game_name": "PUBG Mobile",
    "player_id": "51515969536",
    "player_name": "PlayerOne",
    "server_id": "1234",
    "region": "TR",
    "qty": 1,
    "price": "0.8800",
    "currency": "USD",
    "delivery": [],
    "manual_action_required": false,
    "delivery_message": null,
    "status": "COMPLETED",
    "message": "Заказ успешно завершён.",
    "timestamp": "2026-07-25T13:30:10+04:00"
}

Проверка подписи

Вычислите HMAC SHA-256 от точного сырого JSON тела, используя webhook_secret, выданный вместе с доступом к API. Сравните результат с заголовком подписи, указанным в этой документации, безопасным по времени методом.

<?php
$secret = 'YOUR_WEBHOOK_SECRET';
$rawBody = file_get_contents('php://input');
$received = $_SERVER['HTTP_X_GAMEX_SIGNATURE'] ?? '';
$computed = 'sha256=' . hash_hmac('sha256', $rawBody, $secret);

if (!hash_equals($computed, $received)) {
    http_response_code(401);
    exit('Invalid signature');
}

http_response_code(204);

Жизненный цикл статусов

Коды ошибок

{
    "success": false,
    "error": {
        "code": "VALIDATION_ERROR",
        "message": "Поле product_id обязательно.",
        "details": {
            "max": 1
        }
    }
}

Лимиты и повторы

Соблюдайте лимит запросов в минуту. Повторяйте 429 и временные 5xx с экспоненциальной задержкой. При повторе того же заказа не создавайте новый ключ идемпотентности.

Загрузки и файлы Postman