Центр доверия
Здесь собрано то, что можно проверить, а не то, во что мы просим поверить. Если факт нельзя проверить по ссылке, мы так и пишем. Страница обновляется, когда меняется что-то из перечисленного.
Статус и доступность
Доступность api.qut.kz, сайта, кабинета, документации и страницы оплаты измеряет независимый монитор: Upptime запускается в GitHub Actions каждые 5 минут, а каждая проверка и каждый инцидент записываются коммитом в открытый репозиторий — историю нельзя подправить задним числом.
- Страница статуса: status.qut.kz — текущее состояние, время ответа, uptime за 7 дней, 30 дней и год, инциденты с временем восстановления.
- История проверок: github.com/kazprose/qutpay-status.
- Проверка без ключа:
GET https://api.qut.kz/health→{"status":"ok"}(проверяет и базу данных).
Честно о цифрах: мониторинг запущен 25 октября 2026 года. Пока не накопилось 30 дней данных, мы нигде не пишем «99,9 %». Целевой ориентир — 99,5 % в месяц; это не договорное обязательство, см. раздел «Чего мы не гарантируем».
Меры безопасности
| Что | Как это сделано |
|---|---|
| Деньги | Не проходят через Qut Pay. Счёт выставляется от имени вашего кассира Kaspi Pay, покупатель платит напрямую на ваш бизнес-счёт Kaspi. У платформы нет доступа к вашим деньгам. |
| Сессия кассира | Хранится в зашифрованном виде (AES-256-GCM), пароль от Kaspi Pay не хранится и не запрашивается; вход по SMS-коду, который вводит сам кассир. |
| API-ключи | В базе хранится только хеш ключа; ключ показывается один раз. Префиксы qp_live_ / qp_test_ разделяют реальные и тестовые платежи. Права ограничиваются scope (например, только чтение счетов). |
| Webhook | Каждое уведомление подписано HMAC-SHA256 с меткой времени; до 11 повторов за ~2 часа, при 5 ошибках подряд адрес ставится на паузу. |
| Вход в кабинет | WhatsApp-кнопка, одноразовый код, Telegram или Google; cookie сессии HttpOnly, только HTTPS. Отдельный журнал действий (audit log) по каждой организации. |
| Защита от перегрузки | Лимиты запросов на ключ и на IP, лимит сумм на счёт, дневной предохранитель против зациклившейся интеграции. |
| Инфраструктура | Серверы в Казахстане, TLS на всех адресах, внешний watchdog каждые 5 минут с перезапуском и уведомлением администратора в Telegram. |
| Персональные данные | Собираем только нужное для выставления счетов и уведомлений, не продаём и не передаём третьим лицам, кроме Kaspi (счёт) и WhatsApp/Telegram (уведомления). Подробно — политика конфиденциальности. |
Независимый аудит безопасности пока не проводился. Архитектура и меры описаны открыто (эта страница, 12 пунктов безопасности интеграции, документация); когда аудит будет проведён, здесь появятся название организации, дата и публичная версия отчёта.
Нашли уязвимость? Напишите на kazprose@gmail.com с темой «security». Отвечаем в течение 3 рабочих дней, не преследуем добросовестных исследователей.
Резервные копии и инциденты
- База данных копируется ежедневно, копии хранятся 14 дней. Хранилище вне основного сервера подключается — пока копии лежат на том же сервере, и мы считаем это недоработкой, а не нормой.
- Сбой обнаруживает внешний watchdog (каждые 5 минут) и монитор статуса; администратор получает уведомление в Telegram и, при необходимости, сервис перезапускается автоматически.
- Инциденты и плановые работы публикуются на status.qut.kz автоматически при падении проверки и закрываются при восстановлении, с указанием длительности.
- Поддержка: WhatsApp +7 778 881 3333, Telegram @qutpaybot, kazprose@gmail.com, 09:00–21:00 по Алматы.
Зависимость от Kaspi — главный риск
Qut Pay — независимый сервис, не партнёр Kaspi Bank. Автоматизация работает через штатную роль «Кассир» в вашем бизнес-аккаунте Kaspi Pay: сервис делает то же, что делал бы сотрудник с телефоном в руках, только без телефона. У Kaspi нет публичного API для сторонних сервисов, и Kaspi может ограничить такой доступ или кассира, через которого идёт аномально большой поток. Это следует знать до подключения:
- кассиру нужна отдельная SIM с единственной ролью «Кассир»; номер владельца для этого не подходит;
- при обновлении приложения Kaspi Pay сессия может потребовать повторного входа — мы отслеживаем версии и предупреждаем;
- если Kaspi отключит кассира, счета перестанут выставляться до повторного подключения; деньги, уже полученные на ваш счёт, это не затрагивает.
Мы не скрываем этот риск в документации и в оферте, потому что скрыть его — значит переложить последствия на вас.
Открытость
- Публичная документация, OpenAPI и примеры: github.com/kazprose/qutpay-docs (MIT).
- База знаний: 138 статей на казахском и русском — api.qut.kz/kb/ru, машиночитаемый индекс kb/index.json.
- Руководства на русском, казахском и английском: api.qut.kz/docs/guide/start.
- Для ИИ-ассистентов: api.qut.kz/for-ai, llms.txt, OpenAPI.
- Тарифы без скрытых условий: qut.kz/tarify. Платформа не берёт процент с платежей; комиссия Kaspi за QR взимается Kaspi отдельно.
Чего мы не гарантируем
- Бесперебойной работы 24/7. Сервис предоставляется «как есть» (оферта, п. 5.1); договорного SLA нет. Фактическая доступность — на странице статуса.
- Что Kaspi не изменит правила. См. раздел о риске выше.
- Выдачи фискальных чеков вместо вас: по закону чек выдаёт продавец; проще всего включить бесплатную Kaspi Кассу — как это сделать.
Отзывов клиентов на этой странице нет намеренно: сервис принимает реальные платежи с октября 2026 года, и мы публикуем только отзывы с согласием и названием компании, без скидок за отзыв. Когда они появятся, они будут здесь.