In this section, you'll find everything you need to manage the various entry points your application will receive during and after an Axepta BNP Paribas Online payment.

You'll learn:

• Which URLs to transmit when creating a payment,
• The order in which they are called,
• How to interpret the returned information,
• How to verify the actual status of a transaction,
• How to manage webhooks

1. Provide URLs : return, cancel, webhook

When initializing the payment, you must provide a URLs object:

2. Return URL & Cancel URL

One of these two URLs (return or cancel) will be called at the end of transaction processing to:

• Redirect the customer to the merchant's site at the end of the transaction
• Inform the merchant of the transaction status: whether it was validated or not
• Return the unique transaction identifier payId generated by Axepta Online to the merchant's back office

When either of these URLs is called, Axepta BNP Paribas Online automatically adds the parameter: PayId=<paymentId generated by Axepta> - see Integration recommendation

Que faire lorsque vous recevez cet appel ?

What to Do When You Receive This Call?

When one of these URLs is called:

1. Retrieve the PayId parameter.

2. Call the API to get the actual transaction status

À l’appel de l’une de ces URLs : 

1. Récupérez le paramètre PayId.
Appelez l’API pour obtenir l’état réel de la transaction

2. : GET /payments/getByPayId/{payId} - Retrieve payment details by Payment ID

3. Mettez à jour votre commande en fonction du status et du responseCode.
4. Update your order based on the status and responseCode.

Important Fields in the API Response

• Amount

Champs importants dans la réponse API

Montant
• : value, capturedValue, refundedValue
Identifiants
• Identifiers: payId, transId, xId, refNr
Statut
• Status: status = AUTHORIZED, CAPTURED, FAILED, etc.
Résultat
• Result:
  • responseCode = "00000000"
si succès
• • if successful
  • responseDescription = text message
textuel

Exemple de réponseExample Response

3. Webhook

La notification Webhook est le seul moyen fiable d’être informé de la complétion d’une transaction. Il est impératif pour le site marchant de traiter les requêtes reçues sur l'Url Webhook.

Elle est envoyée même si le client :

• ferme son navigateur,
• perd la connexion,
• ne revient pas sur votre site.

Quand est-il envoyé ?

À chaque fin de traitement de paiement asynchrone.

Ce que vous devez faire

1. Lire la payload JSON
2. Identifier la transaction via payId ou transId
3. Mettre à jour votre système
4. Répondre un code 200 OK 

The Webhook notification is the only reliable way to be informed of transaction completion. It is essential for the merchant site to process requests received at the Webhook URL.

This notification is sent even if the customer:

• Closes their browser,
• Loses connection,
• Doesn't return to your site.

When is it sent?

At the end of each asynchronous payment processing.

What you need to do

1. Read the JSON payload
2. Identify the transaction via payId or transId
3. Update your system
4. Respond with a 200 OK status code

Webhook Structure

Provided Fields

Structure du webhook

Champs fournis

• merchantId
• payId
• transId
• xId
• refNr
• status (AUTHORIZED, FAILED, etc.)
• responseCode / responseDescription
• amount
• paymentMethods
• creationDate (UTC)
• channel (ECOM, MOTO, Pay By Link…)

ExempleExample

Sécurité et Vérification

Security and Verification

To ensure the authenticity of webhook data, it is signed using Afin de garantir l'authenticité des données du webhook, elle sont signées avec un HMAC-SHA256.

La signature est portée par 3 header http dans le message webhookThe signature is included in three HTTP headers within the webhook message.

Signature headers

Signature Generation (Axepta BNP-Paribas Online)

signed_payload = timestamp + "." + raw_json_body
signature = HMAC_SHA256(secret, signed_payload)

• secret
 –
•  – HMAC key
La signature générée est encodé
• The generated Signature is encoded 'hex'
et le header est valorisé comme suit
• and the header is set as follows:

X-Paygate-Signature: v1=<hex-hmac>

Vérification de la signature (Commerçant)

Signature Verification (Merchant)

To verify the authenticity of the webhook message data:

1. Extract the data carried by the HTTP headers

Pour vérifier l'authenticité des données du message webhook:

Extraire les données portées par les headers HTTP

1. :

   • X-Paygate-Timestamp
   • X-Paygate-Signature
2. Prendre les données brutes de la payoad Json (les données binaire reçues)
Calculer le HMAC avec les données extraites

3. Take the raw JSON payload data (the binary data received)

4. Calculate the HMAC with the extracted data

5. signed_payload
6. =
7. timestamp
8. +
9. "."
10. +
raw_body
11. raw_body                                                                                                           expected_signature
12. =
13. HMAC_SHA256(secret,
14. signed_payload)
Comparer la signature calculée avec celle reçue en utilisant une méthode
16. Compare the calculated signature with the received signature using a "constant-time" method.
17. Valider le webhook si
    1. Les signatures sont identiques
    2. le Timestamp est compris dans les ±5 minutes par rapport à votre horloge locale.

Recommandations d’intégration

1. Validate the webhook if:
   1. The signatures are identical
   2. The Timestamp is within ±5 minutes of your local clock.

Integration Recommendations