Marketplace Odeme Sureci

Marketplace odeme sureci manual-first ve enterprise-gated kalir. Amac, musterinin teklif secip siparis olusturabilmesi, manuel odeme kanitinin operasyon tarafindan onaylanmasi ve uretime alma kapisinin kontrollu sekilde acilmasidir.

Marketplace odeme ve siparis mutasyonlari server-side idempotency kullanir. Ayni aksiyon tekrar denenirse ilk kaydedilen yanit donmelidir; ayni anahtar degistirilmis istekle tekrar kullanilirsa tekrar islem olusturmak yerine reddedilir.

Manual-first akis

1. Musteri teklifleri karsilastirir.
2. Bir teklifi secer.
3. Siparis payment_pending ve not_started uretim durumuyla olusur.
4. Musteri havale/EFT, acik hesap veya anlasilan kurumsal yontem icin kanit/paylasim yapar.
5. Operasyon veya finans admin odemeyi manuel olarak onaylar ya da reddeder.
6. Odeme onaylaninca siparisin odeme durumu approved olur ve uretime alma kapisi acilir.
7. Uretim durumu ancak odeme onayindan sonra operasyon tarafindan in_production yapilabilir.
8. PrintTalk, matbaa bridge job'u, PDF Tools, Edge Hub, XJDF yurutme ve fulfillment bu fazin disindadir.

Desteklenen public yontemler

Public/self-service odeme yuzeyi dar tutulur:

• Havale/EFT ile odeme
• Kurumsal acik hesap
• Operasyon ekibinin manuel odeme onayi

document_payment, check, deferred_terms ve direct_deal package seviyesinde supplier-terms vocabulary olarak vardir. Bunlar public odeme secenegi degildir; yalniz operator onayli kurumsal sozlesme veya import senaryosunda kullanilir.

Platformda simdilik olmayanlar

• Kartla odeme ekrani
• Otomatik matbaa odemesi (payout) otomasyonu
• Otomatik odeme saglayici entegrasyonu
• Otomatik iade veya odeme cozumleme ekrani
• Odeme onayindan sonra otomatik uretim veya handoff

Provider-neutral contractlar gated package yuzeyinde bulunabilir; bu public enablement anlamina gelmez. Bu kabiliyetler mevcut public vaadin parcasi degildir.

Export edilen iade talebi yuzeyi su anda herhangi bir iade kaydi olusturmadan, provider cagirmadan ve provider iade kimligi uydurmadan PROVIDER_REFUND_CAPABILITY_UNAVAILABLE doner. Eksik, bilinmeyen, tekrar oynatilan, siparis/tutar bagina uymayan veya imzasi dogrulanmayan Iyzico sonucu odeme ya da siparis etkisinden once reddedilir.

Kanit ve tekrar deneme guvencesi

Odeme onayi, acik hesap onayi ve uretim asamasi guncellemeleri server-side idempotency ile korunur. Ayni islem tekrar denenirse ilk kaydedilen yanit doner; ayni anahtar farkli icerikle kullanilirsa islem reddedilir. Commit edilmis bir yanit x-marketplace-idempotency-recovery tasiyorsa ayni anahtari ve birebir ayni istek govdesini koruyun: retryable exact retry icin kaydin hazir oldugunu, lease-pending ise terk edilmis transport sahipliginin sinirli lease sonunda geri alinacagini belirtir. Response ve audit ozetleri raw idempotency key, actor id, provider secret veya local file path tasimaz.

Manuel odeme dogrulamasinda 409, siparisin degistigini ve operasyonun yeni karar vermeden once kaydi yenilemesi gerektigini anlatir. Retryable 503, kalici komutun store'a ulasamadigini belirtir; ayni anahtar ve ayni govdeyle exact retry yapin. Non-retryable integrity yaniti operator incelemesi ister ve otomatik retry dongusune sokulmaz. Payment event ve outbox kaniti raw istemci anahtari degil yalniz komut/anahtar hash'i saklar.

Marketplace API istekleri rota calismadan once ortak dagitik admission limitinden de gecer. 429 yaniti Retry-After tasir; bu sureyi bekleyip idempotent istegi anahtarini veya govdesini degistirmeden yineleyin. 503 MARKETPLACE_ADMISSION_UNAVAILABLE fail-closed korumadir: yeni bir odeme denemesi baslatmayin, ayni istegi belirtilen gecikmeden sonra tekrar gonderin. Bu kontrol ham istemci IP adresi saklamaz.

Gated kart hattinda tek provider-neutral baslatma siniri ve tek Iyzico donus siniri vardir. Iyzico callback'e yalniz Checkout Form token'i gonderir; sunucu sonucu Iyzico'dan tekrar okur, Iyzico'nun sirali HMAC-SHA256 response imzasini dogrular ve herhangi bir odeme etkisinden once siparis, basket, tutar, para birimi ve replay durumunu sunucu tarafindaki checkout intent'e baglar. Ozel IP allowlist'leri, timestamp header'lari ve paralel callback route'lari odeme otoritesi degildir.

Intent, provider token'ini hash tabanli adreste yalniz sifreli deger olarak saklar. Kabul edilen yasal dokuman surumleri, kabul zamani, aktor ve siparis/teklif/RFQ bagi da ayni kanitta kalicidir. Ham provider token'i ve ham idempotency anahtari settlement veya audit kanitina yazilmaz.

Sunucu Iyzico'ya gitmeden once siparis bazli kisa omurlu checkout lease'i alir. Farkli idempotency anahtari kullanilsa bile ayni siparis icin ikinci canli kart formu acilamaz. Provider istegi sinirli timeout ile calisir; callback ve reconciliation ayni dogrulama ve settlement komutunu kullanir.

Reconciliation, veritabani kaydinin yasina degil provider checkout'un acik bitis zamanina bakar ve sonucu sorgulamadan once iki dakikalik saat/ag toleransi bekler. Suresi dolan intentler expiry/document-id sirali cursor sayfalariyla, sekiz sayfa ve bes dakikalik pass butcesi icinde okunur. Yapisi bozuk initialized bir satir, bagi hala kanitlanabiliyorsa eslesen lease ile birlikte atomik olarak failed yapilir; boylece ilk query sayfasinin arkasindaki odemeleri bloke edemez. Iyzico SUCCESS bildirdigi halde callback bagi veya settlement guvenli sekilde kanitlanamazsa intent ve eslesen siparis lease'i manual_review olur. Bu kalici kayit provider payment kimligini, hash'li payment/event kanitini ve sinirli bir neden kodunu tutar; normal bir failed checkout'a dusurulmeden operasyon tarafindan incelenmelidir.

Tarayici yalniz alicinin onay sinyalini tasir; dokuman basligi, linki, locale'i, surumu ve kabul zamani icin otorite degildir. Sunucu bu kaniti canonical yasal dokuman setinden ve kendi saatinden yeniden uretir. Production Iyzico baslatmasi canonical alici kimligi, adres, sehir ve guvenilir istemci IP kaniti da ister; eksik kanit kart hattini fail-closed tutar.

Ic tarafta her captured provider callback hatti; provider inbox receipt, dengeli settlement journal ve posting'leri, reconciliation sonucu, kisitli audit kaydi ve kalici payment event'i odeme/siparis guncellemesiyle ayni transaction icinde commit etmek zorundadir. Bildirim ve diger takip etkileri ancak bu transaction basarili olduktan sonra baslar; sonraki bir etki kullanilamazsa kalici event recovery otoritesidir. Provider token, event kimligi ve callback body settlement kanitinda yalniz hash olarak saklanir. Bu hazirlik bir veri butunlugu kontroludur; kart odemesinin public olarak acildigi anlamina gelmez.

Journal ayrıca sürümlü settlement lifecycle snapshot'ı taşır. Captured kanıt yalnız geçerli optimistic-revision geçişiyle reconciled olur; snapshot otomasyonu quarantined, payout yetkisini ise false tutar. Reconciliation bu nedenle muhasebe kanıtıdır; matbaaya ödeme veya online ödeme rayını açma yetkisi değildir.

Provider inbox kayitlari, settlement journal/posting kayitlari, reconciliation snapshot'lari ve exact replay icin gereken settlement event kanit kopyasi finansal kanit sinifindadir. Teslimat outbox'i pilotla sifirlanabilse bile bu kanitlar toplu marketplace reset kapsaminda silinmez; duzeltmeler yeni ve izlenebilir kayitlarla yapilir.

Iade ve chargeback kaniti captured-payment journalini geriye donuk degistirmez. Finans, odemenin tam revision'i uzerinden yeni ve dengeli bir reversal journal kaydeder. Tekrarlanan provider event'i, degismis event govdesi, currency sapmasi, dagitim uyusmazligi ve captured tutari asan kumulatif reversal reddedilir. Supplier payout daha once gerceklestiyse geri alim supplier receivable olarak kaydedilir ve dosya manuel inceleme icin payout hold'da kalir. Bu ledger hazirligi provider iade, chargeback, transfer reversal veya payout otomasyonunu baslatmaz.

Siparis ne zaman uretime alinir?

Siparis olusmasi tek basina uretime baslama anlamina gelmez. Odeme onayi uretime alma kapisini acar; uretim durumu ancak bundan sonra operasyon tarafindan ilerletilebilir. Otomatik matbaa job'u ve fulfillment entegrasyonu bu pilotun vaadi degildir.