Для разработчиков

Открывает окно авторизации для конкретного телефона и выдаёт номер пула, на который нужно позвонить. Перед выдачей сервис проверяет баланс/пакет (логины в пакете бесплатны, сверх пакета — по ставке тарифа).

Параметры тело запроса, application/json

Ответ 201

{
  "window_id": 1287,
  "dial_number": "79675550839",
  "expires_at": "2026-09-23 12:41:07",
  "status": "open",
  "window_url": "/api/v1/window/1287"
}

Покажите пользователю dial_number и запомните window_id.

Пример

curl -X POST 'https://входпономеру.рф/api/v2/window' \
  -H 'Content-Type: application/json' \
  -d '{"api_key":"<ваш api_key>","phone":"79094295569","window":1}'

Ошибки

Опрашивайте раз в секунду, пока не получите matched или expired. Запрос шлите со своего сервера, чтобы ключ не попадал в браузер.

Параметры

Ответ 200

{
  "window_id": 1287,
  "status": "matched",
  "expires_at": "2026-09-23 12:41:07",
  "matched_at": "2026-09-23 12:39:52",
  "delivery": {
    "enabled": true,
    "paused": false,
    "paused_until": null,
    "paused_forever": false,
    "paused_seconds_left": null
  }
}

Статусы

delivery — состояние доставки вебхуков сайта: enabled (включена ли), paused/paused_until/paused_forever/paused_seconds_left (не приостановлена ли предохранителем). Если доставка приостановлена, вебхук не уйдёт — для входа остаётся только опрос; предупредите администратора сайта.

Пример

curl 'https://входпономеру.рф/api/v1/window/1287' \
  -H 'X-Api-Key: <ваш api_key>'

Служебный вызов для страницы настроек плагина: проверяет, жив ли сервис и всё ли настроено. Открытие окна для этого не подходит — оно занимает номер пула на 2+ минуты. Эндпоинт бесплатный: никаких списаний и записей в биллинге.

Параметры

Ответ 200

{
  "ok": true,
  "service": true,
  "key_valid": true,
  "domain_ok": true,
  "allowed_domains": ["site.ru"],
  "allowed_domain_display": "site.ru",
  "balance_kop": 250000,
  "tariff": {
    "code": "medium",
    "name": "Средний",
    "monthly_price_kop": 1500000,
    "included_webhooks": 15360,
    "sites_bonus": 1024,
    "included_total": 16384,
    "webhooks_used": 120,
    "webhooks_left": 16264
  },
  "webhook": {
    "configured": true,
    "url_set": true,
    "enabled": true,
    "paused": false,
    "pause_level": 0,
    "pause_until": null,
    "forever": false
  },
  "server_time": "2026-09-23 12:00:00",
  "window_ttl_seconds": 120
}

domain_ok показывает, применилась ли привязка к домену к этому запросу: true, если запрос пришёл с разрешённого домена или без Origin/Referer вовсе (серверный вызов). allowed_domains — домен сайта, закреплённый за ключом (0–1 запись, в punycode); allowed_domain_display — тот же домен кириллицей для показа человеку; пусто = проверка отключена.

Поля тарифа: included_webhooks — пакет, включённый тарифом; sites_bonus — входы за дополнительные (сверх первого) АКТИВНЫЕ сайты по цене пакета; included_total = их сумма; webhooks_used — израсходовано в текущем расчётном периоде (30 дней); webhooks_left — остаток пакета. Сверх пакета каждый вход списывается по ставке тарифа (см. таблицу).

Тарифы (текущая сетка, этап 18)

Ставка сверх пакета плоская — второй ступени «свыше 5000» с отдельной ценой больше нет. Тарифы mobile, tollfree, bonus удалены миграцией 017, коды standart, optimum, maximum переименованы миграцией 018 в mini, small, medium: если в ответе встретился иной code, обновите интеграцию. Неудачные звонки не тарифицируются.

Пример

curl 'https://входпономеру.рф/api/v1/diagnostics' \
  -H 'X-Api-Key: <ваш api_key>'

Ошибки

Новый способ задать адрес приёмника вебхуков: сам сайт сообщает его со своей стороны, а не через ЛК. Ключ определяет сайт (один ключ — один сайт), поэтому «чужая» ссылка не пройдёт: хост обязан совпасть с доменом сайта.

Аутентификация

GET — текущее состояние

Возвращает домен сайта и текущую ссылку вебхука. В БД и в поле webhook_url ссылка лежит в punycode (его требует curl при доставке), а webhook_url_display отдаёт её кириллицей — как её писал клиент. enabled — включена ли доставка.

Ответ 200

{
  "ok": true,
  "domain": "xn--80aairftm.xn--p1ai",
  "domain_display": "сайт.рф",
  "webhook_url": "https://xn--80aairftm.xn--p1ai/wc/call-login-hook",
  "webhook_url_display": "https://сайт.рф/wc/call-login-hook",
  "url_set": true,
  "enabled": true
}

Пример

curl 'https://входпономеру.рф/api/v1/webhook' \
  -H 'X-Api-Key: <ваш api_key>'

POST — задать ссылку тело запроса, application/json

Правило домена

• Хост ссылки обязан совпасть с доменом сайта. Допускается сам домен и его www-форма с любой стороны: site.ru ≈ www.site.ru.
• Поддомены отклоняются: shop.site.ru не пройдёт, даже если shop — настоящий поддомен.
• Кириллица, латиница и смесь принимаются одинаково — сравнение идёт после приведения к punycode: сайт.рф, xn--80aairftm.xn--p1ai и сайт.xn--p1ai — одно и то же.
• У ключа без сайта (легаси-ключ) доменом считается привязка allowed_domain; если и она пуста — проверка отключена и принимается любой http(s) адрес.

Пример

curl -X POST 'https://входпономеру.рф/api/v1/webhook' \
  -H 'X-Api-Key: <ваш api_key>' \
  -H 'Content-Type: application/json' \
  -d '{"webhook_url":"https://сайт.рф/wc/call-login-hook","enabled":1}'

Ответ 200

{
  "ok": true,
  "domain": "xn--80aairftm.xn--p1ai",
  "domain_display": "сайт.рф",
  "webhook_url": "https://xn--80aairftm.xn--p1ai/wc/call-login-hook",
  "webhook_url_display": "https://сайт.рф/wc/call-login-hook",
  "url_set": true,
  "enabled": true,
  "delivery": {
    "enabled": true,
    "paused": false,
    "paused_until": null,
    "paused_forever": false,
    "paused_seconds_left": null
  }
}

В ответе — состояние после записи, включая delivery (как в статусе окна). Запись успешной ссылки снимает паузу предохранителя, если доставка была приостановлена из-за «мёртвого» прежнего адреса (кроме явного enabled: 0).

Ошибки

Сервис сам вызовет ваш адрес, когда звонок подтверждён. Адрес задаёт сам сайт через POST /api/v1/webhook (либо при подключении в ЛК); проверить его можно на карточке сайта в ЛК. Доставка включается переключателем «Доставлять вебхуки» в ЛК → Вебхуки или флагом enabled того же запроса.

Как происходит доставка

• Событие отправляется сразу после подтверждения звонка.
• Доставка идёт синхронно внутри того же HTTP-запроса телефонии: ответ Novofon уже отдан (запрос закрыт через fastcgi_finish_request), и PHP-воркер сразу делает 3 попытки доставки — пауза между попытками 3 секунды, таймаут каждой 2 секунды. Крон в доставке не участвует.
• Отвечайте быстро: достаточно 200 без тела. Тяжёлую работу делайте после ответа.
• Все попытки укладываются в ~12 секунд. Если сайт не ответил за это время, событие остаётся failed — повторов позже нет, оно видно в ЛК → Вебхуки.

Заголовок подписи

X-CallLogin-Signature: <hex>

Тело

{
  "event": "auth.success",
  "window_id": 1287,
  "phone": "79094295569",
  "call_session_id": "1718...",
  "timestamp": 1789999999
}

Проверка подписи

Подпись — HMAC-SHA256 от сырого тела запроса на ключе webhook_secret. Сравнивайте безопасно:

$raw    = file_get_contents('php://input');
$expect = hash_hmac('sha256', $raw, '<ваш webhook_secret>');
$got    = $_SERVER['HTTP_X_CALLLOGIN_SIGNATURE'] ?? '';

if (!hash_equals($expect, $got)) {
    http_response_code(403);
    exit;                       // запрос не от сервиса
}

$e = json_decode($raw, true);
if (($e['event'] ?? '') === 'auth.success') {
    // номер подтверждён — открывайте сессию по $e['phone']
}
http_response_code(200);        // отвечайте быстро, 2xx

Если сайт не отвечает

Сервис защищает себя от «мёртвых» адресов: после 5 неудачных циклов подряд доставка ставится на паузу, которая растёт при повторе:

Состояние доставки видно в ответе статуса окна (delivery) и в ответе POST /api/v1/webhook — проверяйте его, чтобы не пропустить паузу:

{
  "window_id": 1287,
  "status": "matched",
  "delivery": {
    "enabled": true,
    "paused": false,
    "paused_until": null,
    "paused_forever": false,
    "paused_seconds_left": null
  }
}

История отправок

Все события с HTTP-кодом и ответом вашего сайта видны в ЛК → Вебхуки. Там же кнопка принудительного возобновления доставки после паузы (при нескольких сайтах — для выбранного).

Старый вариант: окно привязывается к номеру, который подключён у вас, а не к номеру из пула сервиса. Для новых интеграций используйте /api/v2/window.

Параметры

Ответ 201 — окно 2 минуты; статус читается тем же /api/v1/window/{id}

{ "window_id": 123, "expires_at": "…", "status": "open", "window_url": "/api/v1/window/123" }