Client と Server の責務

金額・注文の認可・商品提供の判断は加盟店サーバーが担います。

処理	担当
注文の確定、所有者の検証、価格計算	加盟店サーバー
API キーを使った決済作成	加盟店サーバー
注文と決済 ID の対応の保存	加盟店サーバー
checkoutUrl へのトップレベル遷移	加盟店のブラウザ画面
支払い内容の確認、パスキー署名	STBLpay の決済ページ
JPYC の発行の申し込み、発行予約の承認、取引可否判断	JPYC EX の画面（利用者が JPYC EX と直接やりとりする。STBLpay は介在しない）
Webhook 検証、照会、注文更新、商品提供	加盟店サーバー
復帰後の注文状況の表示	加盟店のサイトの画面

ブラウザから送られる金額や status は信用しません。注文 ID を受け取り、自社サーバーに保存されたデータから価格を計算してください。

API キー・Webhook 署名鍵はサーバーにだけ保持します。加盟店ページでパスキー署名を再現したり、決済画面を埋め込んだりしないでください。

返金は決済結果の受信とは別の権限・経路です。加盟店コンソールから owner がパスキーで承認する経路だけで、加盟店サーバーから呼べる返金 API はありません。返金の提供範囲を参照してください。