Satu gateway,
banyak website.

Plugin khusus Webpulsa engine W38S.

Pilih paket sesuai versi Webpulsa W38S yang digunakan. Paket berisi metode pembayaran Gateway Digimana untuk transfer bank dan QRIS. Backup file serta database website sebelum instalasi atau upgrade.

Hubungkan backend website ke Gateway.

Android bertugas mengirim mutasi pembayaran. Website/client bertugas membuat reservation, menampilkan instruksi pembayaran, dan memproses webhook. Integrasi channel harus dilakukan dari backend server—bukan JavaScript browser.

Kirim kredensial melalui header.

Endpoint aplikasi Android memakai Authorization: Bearer TOKEN. Endpoint website/channel memakai X-Channel-Key. Simpan key di server website, jangan di JavaScript browser atau query string.

Reservation-first payment.

Buat pending payment sebelum pelanggan mentransfer. Gateway memberikan nominal unik global sehingga pembayaran hanya dapat diarahkan ke website pemilik reservation.

curl -X POST "https://gateway.digimana.in/api/v1/channels/pending-payment" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "external_reference": "DEP#101",
    "amount": 11000,
    "payment_method": "qris",
    "store_reference": "DIGITU",
    "customer_name": "Nama Pelanggan",
    "customer_email": "pelanggan@example.com",
    "expires_at": 1789970400
  }'

expires_at bersifat opsional dan paling aman dikirim sebagai Unix timestamp. Gateway dapat mempersingkat masa berlaku sesuai batas order sumber, tetapi tidak akan memperpanjang melebihi batas maksimum invoice.

{
  "success": true,
  "status": "pending",
  "external_reference": "DEP#101",
  "payment_method": "qris",
  "base_amount": 11000,
  "fee": 165,
  "unique_code": 27,
  "total_amount": 11192,
  "qr_data_uri": "data:image/png;base64,...",
  "dynamic_qris": "000201...",
  "expires_at": "2026-09-21 17:00:00"
}

Gunakan total_amount sebagai nominal yang wajib dibayar dan qr_data_uri untuk menampilkan QR. Jangan menghitung ulang fee atau kode unik di website. Untuk QRIS, gateway menyisipkan referensi transaksi ke EMVCo Tag 62 dan menghitung ulang CRC. Referensi serta nominal yang sama bersifat idempoten.

Dari reservation sampai order selesai.

# Polling status sebagai fallback webhook
curl "https://gateway.digimana.in/api/v1/channels/check-payment/DEP%23101" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY"

# Batalkan hanya ketika masih pending
curl -X DELETE "https://gateway.digimana.in/api/v1/channels/pending-payment/DEP%23101" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY"

Webhook adalah jalur utama. Polling dipakai sebagai fallback atau rekonsiliasi, bukan untuk menggantikan callback real-time.

# Rekonsiliasi beberapa order pending
curl -X POST "https://gateway.digimana.in/api/v1/channels/reconcile" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY" \
  -H "Content-Type: application/json" \
  -d '{"references":["DEP#101","TRX#202"]}'

# Daftar pembayaran yang callback-nya belum diterima website
curl "https://gateway.digimana.in/api/v1/channels/undelivered-payments?hours=24" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY"

Atomic claim untuk integrasi lama.

Gunakan hanya bila website belum dapat membuat reservation. Ambil mutasi tenant yang belum terpakai, lalu klaim berdasarkan ID gateway.

curl "https://gateway.digimana.in/api/v1/transactions/unclaimed?amount=11490&limit=20" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY"

curl -X POST "https://gateway.digimana.in/api/v1/transactions/claim" \
  -H "X-Channel-Key: YOUR_CHANNEL_KEY" \
  -H "Idempotency-Key: DEP-101-CLAIM" \
  -H "Content-Type: application/json" \
  -d '{
    "gateway_trx_id": 12345,
    "external_reference": "DEP#101"
  }'

REST API v1

Verifikasi sebelum menambah saldo.

Gateway mengirim X-Gateway-Event-Id, X-Gateway-Timestamp, dan X-Gateway-Signature. Hitung HMAC-SHA256 dari {timestamp}.{raw_json_body}, bandingkan secara constant-time, dan tolak timestamp lebih lama dari lima menit.

X-Gateway-Event-Id: evt_abc123
X-Gateway-Timestamp: 1789448400
X-Gateway-Signature: sha256=HMAC_HEX

{
  "event": "payment.matched",
  "event_id": "evt_abc123",
  "data": {
    "gateway_trx_id": 12345,
    "payment_id": 678,
    "external_reference": "DEP#101",
    "amount": 11490,
    "base_amount": 11000,
    "unique_code": 27,
    "fee_amount": 463,
    "net_amount": 11000,
    "status": "paid"
  }
}

Simpan event_id atau gateway_trx_id dengan unique index dan proses perubahan status deposit serta saldo dalam satu database transaction. Gunakan net_amount ketika order sumber sudah tidak ada dan pembayaran harus dialihkan ke saldo deposit. Event duplikat harus mengembalikan HTTP 200 tanpa kredit ulang.

// PHP — verifikasi signature dari RAW request body
$raw       = file_get_contents('php://input');
$timestamp = $_SERVER['HTTP_X_GATEWAY_TIMESTAMP'] ?? '';
$received  = $_SERVER['HTTP_X_GATEWAY_SIGNATURE'] ?? '';
$expected  = 'sha256=' . hash_hmac('sha256', $timestamp . '.' . $raw, WEBHOOK_SECRET);

if (abs(time() - (int) $timestamp) > 300 || !hash_equals($expected, $received)) {
    http_response_code(401);
    exit('Invalid signature');
}

Checklist sebelum go-live.

Jangan panggil endpoint channel langsung dari browser atau aplikasi publik karena X-Channel-Key dapat dicuri. Browser hanya berkomunikasi dengan backend website milik Anda.

Status HTTP dapat diprediksi.