Signed Checkout URL

Signed Checkout URL adalah link pembayaran yang dirakit sendiri oleh website Anda untuk setiap pesanan, tanpa memanggil API pembayaran. Cocok untuk tombol "Bayar" di toko online: website Anda menyusun link berisi nominal dan nomor pesanan, lalu pelanggan diarahkan ke sana.

Supaya nominalnya tidak bisa diubah pembeli, link itu diberi tanda tangan (HMAC-SHA256) memakai Webhook Secret project Anda. Tanda tangannya dibuat di server Anda sendiri, tanpa menghubungi Aulaa.

Signed Checkout URL hanya bisa dipakai project tipe API, yang wajib punya URL webhook. Pesanan di sistem Anda baru bisa ditandai lunas lewat webhook, jadi tanpa webhook link ini ditolak.

https://payment.aulaa.co/checkout/{ProjectID}/{Amount}?order_id={OrderID}&sig={Signature}&redirect_url={RedirectURL}

Parameter	Keterangan
ProjectID	ID project Anda (Dashboard → Projects).
Amount	Nominal tagihan, angka bulat tanpa titik/koma (mis. 50000).
order_id	Wajib. ID invoice unik di sistem Anda. Transaksi dengan order_id yang sama melanjutkan sesi pembayaran yang sama.
sig	Wajib. HMAC-SHA256 (hex) dari checkout:v1:{ProjectID}:{Amount}:{OrderID}, ditandatangani dengan Webhook Secret project.
redirect_url	Opsional. URL website Anda untuk pengalihan setelah pembayaran berhasil.

Contoh pembuatan (Node.js)

const crypto = require('crypto');

const projectID = 'b2c3d4e5-f6a7-8901-bcde-f12345678901';
const amount = 50000;
const orderID = 'INV-20260627-001';
const secret = 'YOUR_WEBHOOK_SECRET'; // Diambil dari Dashboard -> Projects
const redirectURL = encodeURIComponent('https://toko-anda.com/checkout/sukses');

// Format string: checkout:v1:{ProjectID}:{Amount}:{OrderID}
const payload = `checkout:v1:${projectID}:${amount}:${orderID}`;
const signature = crypto
  .createHmac('sha256', secret)
  .update(payload)
  .digest('hex');

const checkoutURL = `https://payment.aulaa.co/checkout/${projectID}/${amount}?order_id=${orderID}&sig=${signature}&redirect_url=${redirectURL}`;
console.log(checkoutURL);

Saat pelanggan menyelesaikan pembayaran lewat Signed Checkout URL, webhook tetap dikirim ke callback_url project Anda seperti biasa.

Buat tanda tangan di server Anda. Webhook Secret tidak boleh berada di kode browser atau aplikasi mobile.