Примите платёж самостоятельно.
Не осталось никого, кто мог бы это заморозить.

Платёж в блокчейне не нуждается в компании-посреднике. Клиент подписывает транзакцию, сеть её подтверждает, и деньги — ваши: нет ни эквайера, ни окна расчётов, ни кого-либо, от чьего одобрения зависел бы платёж. В этом весь смысл технологии, и именно ради этого она вообще существует.

Затем магазину нужно реально принимать платежи, и практические требования наваливаются все сразу. Каждому инвойсу нужен собственный адрес, чтобы платежи можно было различить. Кто-то должен наблюдать за цепочкой и решать, когда инвойс оплачен. Сумму нужно указывать в валюте, в которой думает клиент, по курсу, который продержится достаточно долго, чтобы клиент успел нажать «отправить». Статус заказа должен возвращаться обратно в магазин. И всё это должно работать в два часа ночи, пока никто не смотрит. Построить всё это — целый проект; не строить это — вот почему почти все вместо этого регистрируются у стороннего хостингового шлюза, — и одной заполненной формой возвращают посредника в систему, изначально спроектированную без него.

Стоит прямо сказать, чем именно владеет этот посредник, потому что это больше, чем просто комиссия. Он держит монеты — по крайней мере, до момента выплаты, а значит, может её отложить. Он держит список: каждого клиента, каждую сумму, каждую метку времени, каждый товар — в базе данных, которую вы не можете ни прочитать, ни удалить. Он держит досье на вашу личность, потому что компания, прикасающаяся к чужим деньгам, обязана его собирать. И он держит рубильник, потому что условия обслуживания оставляют за ним право решить, что ваш бизнес больше не желанен, — решение, которое приходит по email, распространяется и на баланс, и на аккаунт, и на практике не подлежит обжалованию.

BTCPay Server — ответ именно на эту проблему и ни на что больше. Это бесплатный платёжный процессор с открытым исходным кодом, который вы запускаете на собственной машине: он выводит адрес для каждого инвойса, наблюдает за цепочкой, показывает цены в фиате, предоставляет чекаут и API, а также умеет работать с Lightning. Он никогда не держит ваши монеты, потому что кошелёк, за которым он наблюдает, и так принадлежит вам. Четыре способа принять криптоплатёж и во что каждый из них реально обходится:

Второй столбец — тоже не шутка: одиночный адрес в футере — это действительно нормально для ссылки на пожертвования, а утверждать обратное значит продавать софт, который никому не нужен. Это перестаёт быть нормальным в тот момент, когда два человека платят одну и ту же сумму в один и тот же день, или в тот момент, когда вы предпочли бы, чтобы ваш годовой доход не был публичной цифрой, которую кто угодно может подытожить.

Закажите машину. В панели: Order → VPS → Garrison, образ Debian 12, в любом бастионе, где вы хотите держать записи магазина, — Хельсинки, Стокгольм, Осло или Рейкьявик. Garrison — правильный выбор по умолчанию, потому что он вмещает обрезанную цепочку на 100 GB, узел Lightning и базу данных, и вам не придётся снова думать о диске ещё много лет. Sentinel подойдёт при более жёсткой обрезке; Bulwark — тариф для архивного узла. Для открытия аккаунта не нужен email, а инвойс оплачивается в Monero, Bitcoin, Lightning или любом другом поддерживаемом активе, — и это приятная часть именно этого проекта, ведь вы строите машину для приёма криптоплатежей, а платите за неё одним из них.

Затем, прежде чем делать что-либо ещё, пройдите чек-лист защиты первого часа — SSH только по ключу на перенесённом порту, автоматические обновления, файрвол с запретом по умолчанию. Эта машина в итоге будет хранить записи о каждом вашем клиенте и ключевой материал узла Lightning с живыми средствами внутри. Это не та машина, которую можно оставить с парольной аутентификацией на неделю.

Теперь DNS-запись, и сделайте это до запуска установщика, а не после. Выберите имя хоста, на котором будет жить чекаут, — shop.example.com, pay.example.com, что угодно подходящее, — и направьте A-запись на адрес VPS, плюс AAAA, если нужен доступ по IPv6. Дайте ей распространиться. Обратный прокси, который настраивает установщик, попробует получить сертификат именно для этого имени при первом запуске, используя HTTP-проверку, которая требует, чтобы имя уже указывало на эту машину. Запись, которая ещё не распространилась, — безоговорочно самый частый способ, которым первая установка заканчивается запутывающей ошибкой.

Затем напишите правила файрвола, пока ещё никто ничего не слушает. Четыре порта, и только четыре. Чекаут по необходимости — публичная HTTPS-точка: браузер клиента должен до неё дотянуться, — и порт 80 остаётся открытым, потому что его использует продление сертификата. Пиринговый порт Lightning нужен, только если вы хотите, чтобы другие узлы могли открывать каналы в вашу сторону, а шаг 05 объяснит, почему вы этого хотите. Пиринговый порт Bitcoin вообще не нужно открывать: ваш узел прекрасно устанавливает исходящие соединения сам, а открытие его на вход лишь облегчает его поиск.

ufw default deny incoming
ufw allow 47222/tcp                  # administrative SSH, moved off 22
ufw allow 80/tcp                     # ACME HTTP-01 challenge and the redirect
ufw allow 443/tcp                    # the checkout
ufw allow 9735/tcp                   # Lightning peer-to-peer, only if you want inbound channels
ufw enable
ufw status numbered

Прежде чем продолжить — два замечания о ресурсах. Добавьте машине swap, если его ещё нет: первоначальная загрузка блоков — самый прожорливый до памяти час этого проекта, и 4 GB RAM с 2 GB swap ведут себя намного лучше, чем просто 4 GB. А также сверьте арифметику диска из шага 01 с тарифом, который вы на самом деле заказали, потому что узел, заполнивший том посреди синхронизации, не откажет вежливо — он повредит собственный индекс и начнёт всё заново.

fallocate -l 2G /swapfile && chmod 600 /swapfile
mkswap /swapfile && swapon /swapfile
echo '/swapfile none swap sw 0 0' >> /etc/fstab
df -h /                              # confirm the volume matches step 01

Создайте магазин, а затем примите единственное решение на этой странице, которое действительно имеет значение. BTCPay предложит два способа подключить Bitcoin-кошелёк: подключить уже существующий или дать сгенерировать новый и хранить seed-фразу на сервере. Первый вариант — это кошелёк только для просмотра, и это именно то, что вам нужно. Второй превращает публичную, обращённую в интернет машину в горячий кошелёк, хранящий вашу выручку, и никакая защита не сделает это хорошей сделкой для машины, чья единственная задача — быть доступной незнакомцам.

Механизм, стоящий за этой рекомендацией, достаточно изящен, чтобы его стоило понять. Современные кошельки иерархичны: один seed выводит целое дерево ключей, и существует расширенный публичный ключ — xpub, или его вариант zpub для нативного segwit, — из которого можно вычислить каждый адрес для получения в кошельке, не имея при этом никакой способности подписывать. Отдайте его магазину, и тот сможет генерировать свежий адрес для каждого инвойса, отслеживать платежи на каждый из них и показывать вам баланс. Он не сможет сдвинуть ни одного сатоши. Приватная половина остаётся в вашем кошельке или на аппаратном устройстве и никогда никуда не передаётся.

Итак: откройте Sparrow, Electrum или настольное приложение вашего аппаратного кошелька, создайте новый кошелёк, выделенный именно для этого магазина, и экспортируйте его расширенный публичный ключ. В настройках кошелька магазина выберите подключение существующего кошелька, вставьте ключ и сверьте первые несколько адресов, которые вывел BTCPay, с теми, что показывает ваш кошелёк. Если они совпадают, путь деривации верен и подключение завершено. Если нет — вы выбрали не тот тип скрипта: разница между xpub и zpub — это разница между двумя полностью разными наборами адресов.

Теперь настройки инвойса — именно здесь магазин по-настоящему настраивается. Срок действия по умолчанию — около пятнадцати минут, и это фиксация курса, а не техническое ограничение: это то, как долго вы готовы удерживать цену, выраженную в фиате, против волатильного актива. Сокращайте его при волатильном рынке, увеличивайте, если ваши клиенты медлительны. Подтверждения определяют, когда инвойс считается оплаченным, — ноль подтверждений мгновенны и подходят для чашки кофе, одно подтверждение — обычное значение по умолчанию, а шесть — для сумм, где час ожидания дешевле, чем альтернатива. Допуск на недоплату позволяет принять инвойс, пришедший чуть меньшим, чем нужно, — а это происходит постоянно, когда кошелёк клиента вычитает комиссию из суммы, а не добавляет её сверх; небольшой процент здесь снимает целую категорию писем в поддержку.

Затем проверьте это настоящими деньгами, а не тестовой сетью. Выставите запрос на оплату на символическую сумму, оплатите его с телефонного кошелька и понаблюдайте, как инвойс проходит путь от «новый» через «в обработке» до «оплачен». Эта единственная транзакция доказывает, что узел синхронизирован, путь деривации верен, поставщик курса работает, сертификат действителен в мобильном браузере, а деньги попали в кошелёк, который контролируете вы. Ничто другое не докажет все пять фактов сразу.

Выберите самую компактную форму чекаута, подходящую тому, что у вас уже есть. Запрос на оплату — это ссылка, которую вы кому-то отправляете: сайт не нужен, и это самый быстрый способ выставить счёт клиенту. Приложение касса превращает тот же экземпляр в кассовый аппарат со списком товаров, который работает с телефона на рыночном прилавке. Кнопка оплаты — это фрагмент HTML для статичного сайта. Плагин для магазина добавляет Bitcoin как способ оплаты в настоящую витрину и автоматически записывает статус заказа обратно. А REST API выставляет инвойсы, сообщает их состояние и вызывает вебхук при оплате — это интеграция, которая стареет лучше всех, потому что зависит только от HTTP и общего секрета.

Что бы вы ни выбрали, подключите вебхук и проверьте, что он срабатывает. Инвойс, который оплачен, но так и не уведомил ваше приложение, — это отказ, который никто не замечает, потому что по отдельности всё выглядит правильно с обеих сторон: деньги пришли, клиент увидел страницу подтверждения, а заказ так и остался невыполненным. Специально отправьте себе вебхук об оплаченном инвойсе, убедитесь, что ваш эндпоинт его получил, и проверяйте подпись, а не доверяйте телу запроса, — этот эндпоинт публичен, и отправить на него запрос может кто угодно.

С учётом этого рутина короткая. Развёртывание поставляется со скриптом резервного копирования, который архивирует тома и делает дамп базы данных, пропуская данные блокчейна, и принимает кодовую фразу, чтобы архив шифровался ещё до того, как покинет машину. Запускайте его по расписанию, а затем отправляйте результат на машину в другой юрисдикции, как описано в руководстве по резервным копиям, — репозиторий, доступный только на дозапись, здесь стоит лишних десяти минут, потому что скомпрометированный платёжный сервер не должен иметь возможности стереть запись о том, что он обработал.

cd ~/BTCPayServer/btcpayserver-docker
export BTCPAY_BACKUP_PASSPHRASE="a long passphrase you keep elsewhere"
./btcpay-backup.sh                   # archives volumes + database, skips the chain
# then ship the archive offsite, and keep the channel backup separately

Дальше — обновления, и платёжная машина — это как раз тот случай, когда правильная политика — «обновлять позже и осознанно». У развёртывания есть собственный скрипт обновления, который пересобирает compose-файл и подтягивает новые образы; запускайте его, когда прочитали список изменений релиза, а не когда захочется cron-заданию. Сначала сделайте архив. Поднимайтесь на один релиз за раз. И записывайте предыдущую версию, потому что откат, который можно сделать за минуту, — вот что делает всё это малорискованным.

./btcpay-update.sh                   # deliberate, after reading the release notes
df -h /                              # the check that should be an alert, not a habit

Напоследок настройте одно оповещение и одно напоминание. Оповещение — по использованию диска: узел блокчейна — единственный процесс на машине, который растёт сам по себе, а переполненный том положит чекаут так, что это будет трудно диагностировать, ведь больше ничего не менялось. Порог срабатывания — восемьдесят процентов, а не девяносто пять. Напоминание — ежемесячное, и суть его в том, чтобы открыть магазин и проверить две вещи: что инвойсы по-прежнему оплачиваются и что открытые вами каналы Lightning всё ещё живы. Платёжный процессор отказывает тихо, и обычно вы узнаёте об этом от клиента, который не смог заплатить.