Qarşılıqlı əlaqənin ümumi protokolları

1) Niyə ekosistem vahid protokollar

Ekosistem operatorlardan, studiyalardan/RGS, aqreqatorlardan, PSP/APM, KYC/AML provayderlərindən, affiliatlardan və analitik xidmətlərdən ibarətdir. Qarşılıqlı əlaqənin ümumi protokolları «zoopark» inteqrasiyalarını istisna edir, onbordinqi sürətləndirir, dəstək xərclərini və insident risklərini azaldır, həmçinin miqyasda uyğunluğu təmin edir (üfüqi, şaquli və diaqonal).

Məqsədlər: «qutudan» uyğunluq, proqnozlaşdırıla bilən SLO, məlumat təhlükəsizliyi, təkrar edilə bilən miqrasiyalar.

2) Nəqliyyat təbəqəsi və formatları

HTTP/2/3, gRPC - aşağı gecikmə ilə sinxron API üçün; WebSocket - axın hadisələri/lider bordları üçün; WebRTC (SRTP/QUIC) - audio/video canlı məzmun üçün.

• JSON - xarici B2B API və vebhukları (oxu qabiliyyəti).
• Protobuf/Avro - daxili şin/dərin inteqrasiya (sxemlərin sıxılması/təkamülü).
• Sıxılma/bağlama: JSON üçün gzip/br; Protobuf/Avro üçün zstd.
• Lokal/vaxt: ISO-8601 UTC, məbləğlər - minimum pul vahidində (integer).

3) Autentifikasiya, avtorizasiya, etimad

Müştəri/tərəfdaş tətbiqləri üçün OAuth2/OIDC (qısa ömürlü tokenlər, PKCE, scopes).
etibarlı zonalar arasında S2S üçün mTLS; JWS/HMAC - sorğuların və vebhukların imzası.
RBAC/ABAC: rollar və atributlar (yurisdiksiya, tenant, risk səviyyəsi).
Açarlar və rotasiya: KMS/Vault, qısa ömür, avtomatik rotasiya (JWKS daxil olmaqla).
Egress-control, allow-list domenləri və ASN, DNSSEC/DoT/DoH həssas zonalarda.
Tenant isolation: per-tenant açarları, kvotalar, limitlər, şin namespace.

4) API müqavilələri (REST/gRPC) - kanonika

REST üçün URI-də '/v {n} 'versiyası;' package. gRPC üçün vN '. Minor-təkamül - sınmaz; breaking-dəyişikliklər - yeni major vasitəsilə. Siyasət üzrə deprekasiya (bax § 12).
İdempotentlik: POST/PUT/PATCH pul/kritik əməliyyatlarda «Idempotency-Key»; N saat saxlamaq.
Pagination: kursorlar ('nextPageToken'), 'offset/limit' deyil; konsistent çeşidləmə.
Limitlər: '429 Too Many Requests' + kvota başlıqları ('X-RateLimit-'), retrajlarda jitter.
Səhvlər: maşın oxunan kodlar/podcodes, 'correlationId', validasiya sahələrinin xəritəsi.
Vaxtlar və retrasiyalar: eksponensial gecikmə + jitter; təhlükəli səhvləri geri çəkməyin.
Uyğunluq siyasəti: sahələrin mənasının dəyişməzliyi; yeni sahələr - isteğe bağlıdır.

5) Hadisə modeli və şin (EDA)

Sxemlərin qeydiyyatı (Schema Registry): hər bir hadisə üçün müqavilə, backward uyğunluğu ilə təkamül.

• `click`, `session`, `bet`/`spin`, `round_start`/`round_result`,
• `deposit`/`withdrawal`, `psp_auth`, `kyc_status`, `fraud_signal`,
• `reward_granted`, `leaderboard_update`, `feature_toggle`.
• Partiyanın açarları: 'playerId', 'campaignId', 'tableId', 'operatorId' (domen seçimi).
• Çatdırılma: biznes idempotentliyi ilə at-least-once; pul nəticələri üçün - saga/txn-outbox.
• Sifariş: «açar daxilində zəmanətli sifariş», xaç açarları - orkestr vasitəsilə.
• Zaman semantikası: 'eventTime' + 'ingestTime'; dedup '(eventId' idempotencyKey) '.

6) Webhucks və çatdırılma zəmanət

İmza: JWS/HMAC ilə 't' (timestamp) və 'kid', pəncərəni yoxlamaq ± 5 dəqiqə, oynatma qadağandır.
Retrailer: T dəqiqəyə qədər jitter ilə backoff, cəhdlərin fiksasiyası, yalnız 5xx/timeout-da yenidən göndərmə.
İdempotentlik: 'eventId' + bədən imzası; emal «ən azı bir dəfə».
Vebhuk hadisələrinin reyestri: rasinxronizasiya zamanı tarixin yenidən seçilməsi.
Təhlükəsizlik: mTLS mümkün qədər, allow-list IP/ASN, CSRF server kolbeklərinə tətbiq olunmur.

7) Məlumatlar və Gizlilik (Privacy-by-Design)

PII-minimallaşdırma: identifikatorların tokenlaşdırılması ('playerId' təxəllüsləşdirilir), məlumat domenlərinin ayrılması.
Məlumat müqavilələri: DPA/DPIA, məqsədlər, saxlama müddəti, transsərhəd axınlar (ölkələrin Whitelist).
Audit/Linedge siyasəti: kim/nə vaxt/nə üçün; dəyişməz log (WORM).
RG/etika qaydaları: həssas seqmentlər üçün aqressiv offerlərin qadağan edilməsi; aydın hüquqi baza.

8) Uyğunluq və əməliyyatlar

Güclü sabitlik - cüzdan/balans/ödənişlər.
Eventual - vitrinlər, liderbordlar, telemetriya.
Paylanmış biznes əməliyyatları üçün dastanlar; ləğv üçün kompensasiya.
İş mənasında Exactly-once: idempotent açarları və determinant prosessorlar.

9) Müşahidə və SLO

Trace: click/webhook-dan ödəniş/mükafata qədər 'traceId' keçidi; propagation (`W3C traceparent`).
Metriklər: p50/p95/p99 API, broker laq, CR ödənişlər/KUS, Liderbordlar E2E.
Log: strukturlaşdırılmış, PDn olmadan; tokenlərin/açarların maskalanması.
SLO vərəqləri: p95 ≤ 300-500 ms; depozit p95 ≤ 1. 5–2. 0 s; bahis/spin p95 ≤ 150-250 ms; hadisələrin çatdırılması ≥ 99. 9%.

10) Performans, kvotalar, fırtına qorunması

Rate limiting (token/leaky bucket) L7 və mesh siyasətlərində.
Backpressure: kövrək axınlar (PSP/KYC) üçün növbələr.
Outlier-ejection: qeyri-sabit backends avtomatik «soyutma».
Circuit-breaker: xəta/gecikmə həddini aşdıqda axını bağlamaq.
Fair-share: tenant/kanal/region üzrə kvotalar; kritik domenlərin prioriteti.

11) SDK uyğunluğu və test meyarları

SDK-set: HTTP/gRPC müştərilər, sorğu imzası, jitter retrailer, idempotentlik, kursorlar.
Müqavilə testləri: Postman/Newman/gRPC-conformance, PSP/KYC/studiya simulyatorları.
Uyğunluq matrisi: API/SDK versiyaları, dəstəklənən sxemlər, deprekasiya siyasətləri.
Sintetika: hadisə və əməliyyat generatorları, monitorinq üçün 24/7 «qara qutular».

12) Version və deprekasiya (Change Management)

Major-relizlər N ayda bir dəfə, paralel pəncərə ilə ≥ 6-12 ay.
Minor-dəyişikliklər - isteğe bağlı sahələrin/metodların qırılmadan əlavə edilməsi.
Deprekasiya: anons → başlıqlarda/cavablarda xəbərdarlıqlar → metriklərdə bayraq → plan üzrə söndürmə.
Hadisə sxemlərinin miqrasiyası: «genişləndirmə» strategiyası (add-only) + sərhədlərdə proxy adapterləri.

13) Protokolların təhlükəsizliyi

Zero Trust: mTLS hər yerdə, qısa ömürlü kreditlər, ən kiçik imtiyaz prinsipləri.
Gizli satınalmalar: oxu/yazma/idarəetmə açarlarının ayrılması.
Təkrar qorunma: imzalarda nonce/müvəqqəti pəncərə; həddindən artıq istifadəyə qadağa.
WAF/bot filtrləri: sürüşmə/klik; aşağı false positive.
Vendor zonaları: mikroseqmentasiya, fərdi VPC/namespace, egress-allow-list.

14) Hadisələr və DR

War-room prosedurları: domenlər üçün stop düyməsi (məzmun/PSP/KYC), RACI, SLA Trace paketi.
DR ssenariləri: aktiv-aktiv giriş nöqtələri (Anycast/GSLB), cut-over ≤ 60-90 s, rüblük təlimlər.
RCA: günahkar axtaran olmadan şablonları, link L3 L7, protokol/SDK/Runbook update.

15) Protokolların müvəffəqiyyət metrikası

Uyğunluq: conformance testlərindən keçmiş tərəfdaşların payı; onbordinq vaxtı (TTO).
Etibarlılıq: uptime inteqrasiya, p95 API/şinlər, uğurlu vebhuk payı.
Təhlükəsizlik: PDn = 0 hadisələri, açar rotasiya vaxtı, mTLS trafikinin payı.
İqtisadiyyat: cost per rps/txn/event, Cost-to-Serve azaldılması, miqrasiya vaxtı.
Məhsul: FTD/ARPU/LTV standartlaşdırma uplift (daha az KUS/ödəniş sızması).

16) Anti-nümunələr

Hadisələrin «sərbəst forması»: sxemlərin və versiyaların olmaması → vitrinlərin ayrılması və analitika.
N + 1 olmadan vahid L7-şlyuz: SPOF və dar boğaz vebhuk/PSP üçün.
Limitsiz/jitter retrayları: trafik fırtınası, ikiqat əməliyyatlar.
Xam PDn mübadiləsi: heç bir tokenizasiya/DPIA → tənzimləyici risklər.
Offset-pagination: yük altında pass/dublikatlar.
Sirləri «əbədi» və egress nəzarət olmadan statik IP.
paralel pəncərə və adapterlər olmadan Breaking-dəyişikliklər.

17) Giriş çek siyahısı

1. API kanonikasını qəbul edin (version, idempotent, paginasiya, səhvlər).
2. Giriş Schema Registry və top/party açarları domen kartı.
3. S2S və vebhuk üçün mTLS + JWS/HMAC tələb edin; açar rotasiya avtomatlaşdırmaq/JWKS.
4. Limitləri/retrayları/CB/outlier-ejection və per-tenant kvotalarını konfiqurasiya edin.
5. Vahid 'traceId' ilə Trace/Metrik/Log; SLO vərəqlərini təsdiq edin.
6. DPA/DPIA imzalayın, tokenizasiya və saxlama/silmə siyasətlərini daxil edin.
7. SDK və conformance dəsti yaratmaq; deprekasiya siyasətini düzəltmək.
8. DR/chaos təlimləri və war-room-ritualları keçirmək; minimum dəstdə «qara start».
9. Protokol kataloqunu (partnyor portalı) tətbiq edin: spec, nümunələr, simulyatorlar, qum qutusu.

18) Təkamül yol xəritəsi

v1 (Foundation): REST/gRPC kanonikası, əsas hadisə sxemləri, vebhuk imzaları, mTLS.
v2 (Integration): miqrasiya konveyeri, conformance testləri, SDK, kvota/retras üçün rule-engine.
v3 (Automation): SLI, self-service qum qutusu/simulyatorları, versiyaları arasında adapterlər.
v4 (Networked Governance): Tərəflərarası Protokol Komitəsi, ümumi SLO/kreditlər/penalti, birgə PoP/edge siyasətləri.

Qısa xülasə

Qarşılıqlı əlaqənin ümumi protokolları ekosistemin «dilidir»: vahid API və hadisə müqavilələri, ciddi təhlükəsizlik (mTLS/JWS), idempotentlik və çatdırılma zəmanəti, müşahidə və SLO, idarə olunan miqrasiyalar və DR. kanonikanın ardınca iştirakçılar daha sürətli toplaşırlar, daha az azalırlar, daha asan miqyas alırlar və privacy və yurisdiksiya tələblərinə uyğun olaraq - proqnozlaşdırıla bilən böyüyür.