Открыть кабинет

API для кредитного конвейера

Всё, что делает сотрудник в кабинете, ваша система делает по API: создаёт проверку, отправляет ссылку заёмщику, получает сводку и PDF. Результат приходит вебхуком, опрашивать сервис не нужно.

Принципы

  • Версия в адресе

    Все методы под /api/v1. Несовместимые изменения выходят новой версией, старая продолжает работать.

  • Единый ответ

    Каждый метод возвращает success, code, error и value. Ошибка приходит текстом на языке из Accept-Language.

  • Идемпотентность

    Повтор создания проверки с тем же Idempotency-Key после таймаута возвращает уже созданную проверку.

  • Свой номер заявки

    В проверку передаётся externalReferenceId вашей системы, по нему проверка находится без хранения наших идентификаторов.

Доступ

Система работает от имени организации. Подходят два способа, оба используют один API-ключ и одни права доступа.

  • API-ключ

    Заголовки X-API-Key и VeriCore-Organization-Id. Секрет ключа создаётся на сервере, показывается один раз и хранится только в виде хеша.

  • OAuth2 client credentials

    Ключ обменивается на короткоживущий токен по адресу /api/v1/oauth/token. Подходит для систем, которые ждут стандартный поток OAuth2.

  • Права доступа

    Одиннадцать областей: проверки, документы, проверки провайдеров, ручная проверка, история действий, учёт использования и настройки организации на чтение и запись.

  • Белый список IP

    Организация может ограничить адреса, с которых принимаются её ключи. Пустой список означает без ограничений.

Путь проверки по API

Шесть вызовов от заявки до сводки. Шаги со сканированием, разбором и проверками может выполнять оркестратор платформы без вашего участия.

  1. 01POST/api/v1/verification-cases

    Создать проверку: страна заёмщика и отчёта, тип заявителя, ваш номер заявки

  2. 02POST/verification-cases/{id}/upload-link

    Выдать заёмщику одноразовую ссылку на портал загрузки

  3. 03POST/verification-cases/{id}/documents/signed-upload-url

    Или загрузить файл самим по подписанной ссылке

  4. 04POST/verification-cases/{id}/provider-checks/start-session

    Начать сессию KYC или KYB для заёмщика

  5. 05POST/verification-cases/{id}/summary/generate

    Собрать сводку: сверка личности, подлинность, флаги, рекомендация

  6. 06GET/verification-cases/{id}/summary/pdf

    Получить PDF сводки с QR-кодом

Создание проверки

Ответ сразу содержит адрес портала для заёмщика. Ссылку можно отправить в SMS, мессенджер или показать QR-кодом на экране.

POST /api/v1/verification-cases
X-API-Key: vk_live_…
VeriCore-Organization-Id: 7c1f…
Idempotency-Key: 5b0e8f2a-…

{
  "externalReferenceId": "LOAN-2026-104233",
  "applicantType": "Individual",
  "applicantCountryCode": "UZ",
  "reportCountryCode": "UZ"
}
{
  "success": true,
  "code": 200,
  "value": {
    "id": "c4d1…",
    "status": "AwaitingApplicant",
    "applicantUploadUrl": "https://app.vericore.a3.solutions/apply/…"
  }
}

Вебхуки

Подпишите адрес на нужные события. Каждая доставка подписана HMAC-SHA256 от метки времени и тела запроса, повторяется при сбое и сохраняется в журнале доставки.

case.status_changed

Проверка перешла в новый статус

document.uploaded

Заёмщик или ваша система загрузили документ

document.status_changed

Изменился статус обработки документа

manual_review.status_changed

Изменилась задача ручной проверки

summary.generated

Сформирована андеррайтинговая сводка

Как проверить подпись

Пересчитайте HMAC-SHA256 от строки «метка времени, точка, тело запроса» секретом адреса и сравните с заголовком X-VeriCore-Signature. Запрос со слишком старой меткой времени отклоняйте.

X-VeriCore-Event: summary.generated
X-VeriCore-Delivery: 9a71…
X-VeriCore-Timestamp: 1791964800
X-VeriCore-Signature: 3f6c…

Проверка выданного отчёта

QR-код в PDF ведёт на публичный адрес проверки. Его можно встроить в собственный интерфейс «проверить отчёт»: ответ показывает, выдан ли отчёт платформой и не изменён ли он.

Отчёт с проверкой по QR-коду

Защита API

  • Ограничение частоты запросов на публичных адресах, отдельный строгий лимит на открытие отчёта по паролю
  • Адреса вебхуков проверяются: приватные сети и небезопасные схемы отклоняются
  • Документы передаются по подписанным ссылкам с ограниченным сроком
  • Ключ хранения файла вычисляется сервером, клиент не может указать чужой файл
  • Документация API в рабочей среде закрыта от анонимного доступа

Документация и песочница

Описание OpenAPI 3.1 с интерфейсом Scalar на шести языках и бесплатная песочница с тестовыми проверками для отладки интеграции.

Документация APIНачать с песочницы