Сервис "Экспресс Платежи": Интернет-эквайринг

- Домен сайта для адресов возврата берётся из «URL сайта» Главного модуля, а если он пуст — из «URL сервера» сайта заказа. Значение с https://, путём или слэшем больше не отбрасывается, кириллические домены переводятся в punycode.

- Если домен не указан, счёт не выставляется, а администратор видит понятное сообщение о том, какую настройку заполнить; в настройках платёжной системы выводится предупреждение.

- Ошибки API «Экспресс Платежи» и ошибки соединения записываются в журнал событий (тип EXPRESSPAY_*_ERROR) без включения отладки. Администратор видит причину ошибки на странице оплаты, покупатель — общее сообщение.

- Обновление заменяет установленную копию обработчика в /bitrix/modules/sale/handlers/paysystem/ целиком.

- После оплаты покупатель возвращается на страницу заказа и видит сообщение об успешной оплате (раньше попадал на служебный адрес).

- Добавлен текст статуса «Оплачен с помощью банковской карты».

- Данные уведомления (плательщик, сумма) проверяются и экранируются перед записью в оплату.

- Проверка подписи уведомлений стала обязательной (fail-closed): убрана зависимость от CARD_IS_USE_SIGNATURE_FROM_NOTIFICATION, дефолт изменён на Y.

- Добавлено предупреждение администратору при отключённой проверке подписи.

- Open Redirect: убран fallback хоста на HTTP_HOST, при пустом server_name используется относительный URL, протокол всегда https, путь фиксирован, добавлена проверка allowlist через main:trusted_hosts.

- В debug-лог не записывается подпись запроса (Signature), тело ответа заменено на длину.

- Исправлен обход аутентификации в обработчике уведомлений: добавлена валидация типов данных, проверка подписи через hash_equals, сверка суммы и AccountNo, защита от повторного зачисления.

- Исправлено построение ReturnUrl/FailUrl: используется доверенный хост из настроек сайта вместо HTTP_HOST, добавлено логирование подмены хоста.

- Исправлено построение URL уведомлений по умолчанию: хост берется из server_name, добавлены предупреждения администратору о несовпадении хоста и о пустом секретном слове при включенной проверке подписи.

- Улучшена криптография проверки подписи: при пустом секрете вычисление подписи отменяется, убран trim() секретного слова, используется hash_equals для защиты от timing-атак.

- Исправлены XSS-уязвимости в шаблонах checkout.php и error.php.

- При ошибках API покупателю выводится обобщенное сообщение, детали уходят в лог.

- Добавлены языковые сообщения для новых ошибок и предупреждений.

- Языковые файлы переведены в кодировку UTF-8.