API для выпуска криптокарт: практическое руководство по его реальной работе.

Создание карточной программы по старинке подразумевает привлечение банка-спонсора, процессора платежей, бюро персонализации и отдела соответствия нормативным требованиям, которые заключаются по одному контракту за раз. Обычно на это требуется восемнадцать месяцев.

API для выпуска карт — это аргумент в пользу того, что вам больше не нужно этим заниматься. Он не столько избавляет от этой работы, сколько переносит большую её часть на баланс другой компании, и то, что остаётся, стоит понять, прежде чем подписывать соглашение.

Основные выводы

• API для выпуска криптокарт позволяет компании создавать и управлять платежными картами, привязанными к криптовалютным балансам, как правило, без собственной лицензии на выпуск карт, банковской поддержки или инфраструктуры обработки платежей.
• UPay Business предлагает выпуск физических и виртуальных карт Visa через единый API, комиссию за криптовалютные платежи менее 1% по сравнению с 3-5% за традиционные трансграничные платежи, а также прием BTC, ETH, USDT и более 50 других активов в рамках стандартов TRC20, ERC20 и BSC.
• UPay Business сообщает, что расчеты в криптовалюте занимают около пяти минут, а выплаты в фиатной валюте — T+0 или T+1 в зависимости от канала, при этом банковские расчеты происходят через T+1. Это разные этапы, а не противоречие, поэтому уточните, на каком этапе заканчивается ваш коридор.
• В собственной документации для разработчиков UPay описана тестовая среда, 60-секундный период действия подписи для каждого запроса, обязательное включение IP-адресов в список разрешенных, а также указано, что базовый URL-адрес производственной среды не разглашается публично.
• Полученные вами гарантии соответствия нормативным требованиям реальны: проверка личности, мониторинг транзакций, проверка на соответствие санкциям, правило о превышении лимита в 3,000 долларов США для поездок за границу, а также стандарт PCI DSS v4.0.1, в настоящее время единственная действующая версия, 51 требование которой вступило в силу 31 марта 2025 года.
• Что касается регистрации, ориентируйтесь на информацию, предоставленную самой компанией UPay: лицензия оператора денежных услуг в Гонконге, предварительное одобрение литовской компании, предоставляющей услуги в сфере виртуальных активов, а также регистрация предприятий, оказывающих денежные услуги, в США и Канаде.

Что такое API для выпуска криптокарт?

API для выпуска криптокарт — это набор программируемых конечных точек, позволяющих компании создавать, пополнять, блокировать и аннулировать платежные карты, привязанные к криптовалютному балансу клиента, без необходимости владеть соответствующим оборудованием.

Поставщик сохраняет за собой труднодоступные связи: членство в сети, соглашение об эмиссии, обработку и конвертацию платежей. Вы сохраняете клиента, бренд и правила расходования средств.

На этапе конвертации происходит обработка криптовалюты. Карта является обычной картой в обычной сети; то, что добавляет провайдер, преобразует криптовалютный баланс в расчетную валюту при авторизации, поэтому продавец видит обычную транзакцию, а покупатель — криптовалютный дебет.

Как работает процесс, шаг за шагом.

Процесс регистрации и проверки личности. Ваше приложение собирает данные клиента и отправляет их через точки проверки поставщика. Результат возвращается асинхронно, поэтому разрабатывайте приложение с ожидающим состоянием, а не с ответом «да» или «нет».

Пополнение баланса. Клиент переводит криптовалюту на счет, с которого списывается средства с карты. В UPay это пополнение с кошелька UPay, а не прямое списание, поэтому баланс постоянно пополняется вашим клиентом.

Выпуск и предоставление доступа. Виртуальная карта выпускается быстро. Физическую карту необходимо изготовить и отправить, поэтому платежные терминалы UPay включают в себя активацию и отслеживание логистики наряду с регистрацией.

Авторизация. Когда клиент оплачивает покупку, сеть отправляет запрос на авторизацию, провайдер проверяет баланс и ваши правила расходования средств, производит конвертацию и утверждает или отклоняет платеж. Все, что вы хотите контролировать, должно быть настроено заранее.

Расчеты и сверка. Оплаченные транзакции поступают продавцу через сеть, а ваша сторона сверяет данные с веб-хуками. Данные веб-хуков представляют собой запись, а панель управления — сводку.

В нашей заметке о том, как работают платежи в USDT, рассматривается, что именно показывает подтверждение цепочки транзакций, а именно, какие данные используются для сверки.

Что на самом деле публикуется в документации API UPay?

Вот что говорится в документации для разработчиков и на страницах компании UPay.

Что спрашивает покупатель	Что публикует собственный контент UPay	Там, где это написано.
Какие карты я могу выпустить?	Физические и виртуальные карты Visa через единый API	Бизнес-сайт UPay
Есть ли там песочница?	Опубликована тестовая среда; среда тестирования указана как недоступная, а базовый URL-адрес производственной среды не разглашается.	Справочник по API UPay
Как осуществляется аутентификация запроса?	Каждый запрос подписывается, и подпись действительна в течение 60 секунд, после чего её необходимо сгенерировать заново.	Справочник по API UPay
Есть ли сетевые ограничения?	IP-адреса, с которых осуществляется вызов, должны быть внесены в список разрешенных, и ответы поступают только с указанных адресов.	Справочник по API UPay
Что можно сделать с картой?	Регистрация, активация, пополнение счета, блокировка и разблокировка, отмена, запрос счетов, установка торгового пароля, отслеживание логистики, подтверждение 3D Secure, авторизация суммы расходов.	Справочник по API UPay
Что ещё охватывает API?	Торговец, Счет, Группа клиентов, Клиент, Адрес, Карта, Кошелек, Эквайер, Расходы, IFrame, Загрузка файлов, Список регионов, Список кодов и группы веб-хуков	Справочник по API UPay
Документация на английском языке?	Основной текст представлен на упрощенном китайском языке; полная английская версия опубликована по адресу upay-api-en.readme.io.https://upay-api-en.readme.io/)	Справочник по API UPay, обе версии.
Откуда я знаю, что что-то произошло?	Веб-хуки-уведомления о событиях, связанных с картами, кошельками, эквайрингом и выплатами.	Справочник по API UPay
Сколько стоит обработка?	Доля криптовалютных платежей составляет менее 1%, тогда как для традиционных трансграничных платежей этот показатель достигает 3-5%.	Бизнес-сайт UPay
Как быстро происходит расчет по денежным средствам?	Примерно 5 минут в блокчейне («~ 5 минут»); выплата в фиатной валюте T+0 или T+1 в зависимости от канала; банковский расчет T+1	Сайт UPay Business и его страница для криптовалютных платежей.

Оба документа стоит прочитать, прежде чем определять объем работы: список разрешенных мест ограничивает выполнение вашего кода, а 60-секундный период проверки подписи ограничивает количество повторных попыток.

UPay Business указывает время обработки криптовалютных платежей около пяти минут, что соответствует «примерно 5 минутам» по сравнению с 1–5 рабочими днями для традиционных платежных систем. На странице криптовалютных платежей также говорится, что расчеты в блокчейне «могут быть завершены в режиме реального времени, в то время как расчеты в фиатной валюте обычно занимают T+0 или T+1, в зависимости от канала выплаты», а банковские расчеты указаны как T+1.

Быстрый расчет показывает, что транзакция осуществляется через блокчейн, а T+0 или T+1 — это транзакция с выплатой в фиатной валюте, поэтому уточните, на каком этапе заканчивается ваш коридор. UPay также публикует единственный показатель рентабельности инвестиций в этой категории: экономия от 20 000 до 50 000 долларов США на миллион обработанных транзакций по сравнению с традиционными банковскими системами.

Соответствие требованиям, которое вы наследуете

Технология работает в режиме спринта. Подготовка файла соответствия занимает квартал и определяет дату запуска.

Проверка личности. Выпуск карт — это регулируемая деятельность на каждом рынке, имеющая значение для карточной программы, поэтому каждый держатель карты проходит проверку до того, как карта будет выпущена. UPay публикует конечные точки для отправки, запроса и отслеживания прогресса, поэтому ваш продукт должен отображать состояние между «заявка подана» и «одобрено».

В нашем пояснительном материале о соблюдении требований «знай своего клиента» в криптовалютной сфере подробно объясняется, для чего нужны эти проверки.

Мониторинг транзакций и санкции. Проверка проводится по именам, а в случае криптовалют — по адресам кошельков. Управление по контролю за иностранными активами Министерства финансов США включает адреса виртуальных валют в свой санкционный список с 2018 года, поэтому адрес является таким же идентификатором для проверки, как и имя.

UPay указывает имена своих партнеров по инфраструктуре, что является большим преимуществом по сравнению с большинством провайдеров: проверка личности с помощью Sumsub, о которой UPay объявила в мае 2024 года , расчеты в стейблкоинах с помощью StraitsX и облачная инфраструктура с Tencent Cloud. Все три указаны в UPay Business в разделе «Построено на основе надежных глобальных партнерств». Имена партнеров можно проверить; «инфраструктура корпоративного уровня» — нет.

Правило о передаче информации о получателе и отправителе платежа. В Соединенных Штатах 31 CFR 1010.410(f) требует предоставления информации об отправителе и получателе платежа для передачи информации о получателе платежа при переводах на сумму 3,000 долларов США и более. Это правило существовало еще до появления криптовалют и применяется к ним.

PCI DSS. Безопасность данных карт обеспечивается стандартом безопасности данных платежных карт (PCI DSS). Совет по стандартам безопасности платежных карт (PCI DSS) прекратил поддержку версии 4.0 31 декабря 2024 года, поэтому в настоящее время активна только версия 4.0.1.

Из 64 требований, введенных в версии 4.x, 51 имели будущую дату вступления в силу и были актуальны на 31 марта 2025 года , поэтому сегодняшняя оценка проводится по полному набору требований, а не по переходному.

Использование полей ввода данных карты, размещенных у провайдера, сужает область действия. Но это не исключает ее полностью, и ваш аудитор обязательно спросит, к каким полям когда-либо обращается ваш собственный код.

Лицензирование. Запросите список и сверьте его с официальными реестрами, а не с маркетинговой страницей. UPay имеет лицензию оператора денежных услуг в Гонконге, предварительное одобрение поставщика услуг виртуальных активов в Литве, а также зарегистрированные предприятия по оказанию денежных услуг в США и Канаде.

UPay опубликовала идентификаторы для этих двух организаций: 31000257909666 для регистрации в США и M24993747 для регистрации в Канаде. Найдите их самостоятельно в базе данных FinCEN MSB Registrant Search и реестре MSB FINTRAC, и если ни один из них не выдаст организацию, с которой вы заключаете договор, выясните причину, прежде чем предпринимать дальнейшие действия.

На страницах самого UPay по этому вопросу нет единого мнения. На главной странице указаны все четыре лицензии; на странице «О нас» они по-прежнему фигурируют в разделе «Цели и планы» как лицензии, которые необходимо получить, датированные 3 кварталом 2023 года и 1 кварталом 2024 года, наряду с трастовой лицензией, которая не указана на главной странице.

Таково обычное состояние маркетинга продавцов, и именно поэтому кассовый аппарат, а не страница, является оптимальным решением.

Проблемы использования API для выпуска криптокарт

Правила различаются в зависимости от рынка и страны. Один API не гарантирует предоставление одного продукта. Санкционные списки, сетевые правила и собственный список стран поставщика — все это ограничивает круг потенциальных клиентов.

Риск конверсии не исчезает, он перемещается. Конверсия при авторизации концентрирует риски клиента в секундах вокруг каждой покупки. В случае с волатильным активом, снижение баланса, который час назад казался достаточным, — это обращение в службу поддержки, а не ошибка.

Вы по-прежнему создаете скучную половину. API выпускает и управляет картами. Выписки, обработка споров, процесс проверки 3D Secure, напоминание о пополнении счета и экспорт налоговой информации — все это ваше. Команды определяют конечные точки и забывают о продукте, который их окружает.

Вашим клиентам нужно объяснить. Карта, пополненная из электронного кошелька, отклоняется при недостаточном балансе, без возможности овердрафта и автоматического пополнения. Укажите это в процессе регистрации, а не в условиях.

Вы наследуете стабильность поставщика услуг. Программа выпуска карт — это не зависимость, которую можно заменить за выходные. Спросите, что произойдет с действующими картами, если поставщик услуг сменит своего партнера по выпуску.

Что проверить перед подписанием

Какие рынки, по каким критериям? Право на получение карты определяется гражданством, а не местом жительства, и различается для каждой карты. Карта Premier от UPay отклоняет заявки из длинного списка стран и территорий, большинство из которых необитаемы или являются спорными.

Платиновая карта отклоняет заявки от гораздо более короткого списка, в который входят, среди прочих, США, Китай, Индия, Индонезия, Пакистан, Вьетнам, Турция, Саудовская Аравия и Израиль. Именно этот короткий список является определяющим фактором при заключении сделок, и обе карты отдельно полностью запрещают въезд гражданам стран, находящихся под санкциями.

UPay пересматривает список и заявляет, что он основан на данных Visa, а также на основных глобальных списках регуляторных рисков и санкций, поэтому актуальную версию можно получить в справочном центре компании.

Кто является эмитентом? Карты UPay выпускаются партнерскими организациями, а не самой компанией UPay, и именно эта организация устанавливает правила для вашей программы.

UPay назвала одну компанию: JC Credit Limited, для своей кредитной карты в Гонконге, условия которой ссылаются на Mastercard. Ее текущие карты Premier и Platinum, а также карта Business API выпускаются на основе Visa. Уточните, какая организация выпускает вашу карту.

Какая ставка применяется? Уточните, какая ставка устанавливается при авторизации, какой спред взимается и кто несет разницу между авторизацией и расчетами.

Как выйти из системы? Спросите, что произойдет с держателями ваших карт, если вы уйдете, кому принадлежат токенизированные учетные данные и какое уведомление требуется. Ответ редко содержится в документации.

Выбираете поставщиков услуг, а не механиков? В нашем руководстве по платформам выпуска криптокарт для стартапов мы сравним их, а раздел, посвященный инфраструктуре криптоплатежей B2B, расскажем о расчетной стороне вопроса.

Что на самом деле занимает время

Реалистичный первый этап внедрения занимает от трех до четырех месяцев, и лишь небольшая часть этого времени уходит на инженерные работы: на инженерию уходит несколько недель, на подготовку документации по соответствию требованиям — целый квартал. И то, и другое — рабочие оценки, а не опубликованные цифры.

Проверка финансовой состоятельности компании с многоуровневой структурой собственности — это этап, который часто затягивается. Подготовьте учредительные документы, схему структуры собственности и документы, удостоверяющие личность директоров.

После этого дело сводится к принятию решений, а не к написанию кода: какие средства контроля расходов вы предоставляете, что делает служба поддержки, когда карта отклоняется на заправке из-за предварительной авторизации, и как клиент пополняет баланс, если он исчерпан.

Сама интеграция — это краткая часть, и именно её подробно описывает наше руководство по интеграции API платежного шлюза .

Часто задаваемые вопросы (FAQ)

Сложно ли интегрировать API для выпуска криптокарт?

Интеграция — не самая сложная часть. Документация, тестовая среда и веб-хуки позволяют завершить разработку за несколько недель. Сроки определяются проверкой вашей компании, получением разрешений на соответствие нормативным требованиям и коммерческими условиями.

Нужна ли мне собственная лицензия для выпуска карт через API?

Обычно нет: поставщик и его партнер по выпуску лицензий владеют правами на них, а вы выступаете в качестве руководителя программы на основании их разрешений. Это коммерческая позиция, а не юридическое заключение, поэтому уточняйте это для каждого рынка, на котором вы работаете.

Как криптовалютная карта обрабатывает колебания цены между покупкой и расчетом?

Провайдер производит конвертацию в момент авторизации, поэтому баланс списывается по курсу, действовавшему в тот момент. Разница между авторизацией и расчетом куда-то переносится, и в договоре указано, куда именно.

В чём разница между эмитентом карты и платежным шлюзом?

Платежный шлюз позволяет принимать деньги от клиентов. Выпуск платежного терминала предоставляет клиентам карту для оплаты покупок. Похожая инфраструктура, противоположные проблемы, и многие предприятия хотят использовать оба варианта.

Могу ли я выдавать карты клиентам где угодно?

Нет. У каждой карточной программы есть список стран и национальностей, которые она не может обслуживать, что обусловлено санкциями и правилами сети. Получите актуальный список, прежде чем изучать рынок.