Аутентификация

Каждый запрос должен содержать API-ключ в заголовке:

X-API-Key: vp_live_…

Ключ выдаётся в кабинете → Интеграция. Отсутствие или неверный ключ — 401 Unauthorized.

Pay-In должен быть явно разрешён: кабинет подтверждает администратор. Без этого создание сделки вернёт 403.

Секрет vps_… в запросы не кладётся — он только для проверки подписи вебхука.