API uyğunluq və hesabat

1) Təyinat

• AML/Responsible Gaming (RG) üçün hadisələrin toplanması və təsdiqlənməsi (oyun/ödəniş/autentifikasiya).
• Yoxlamaların aparılması (KYC/KYB, sanksiyalar/RER, vəsait mənbələri, yaş).
• Bazarlar üzrə tənzimləyici hesabatların (dövri və ad-hoc) formalaşdırılması.
• Audit-jurnalların aparılması və Legal Hold-un icrası.
• Provayderlərlə (PSP, KYC-birjalar, sanksiya siyahıları) və dövlət portalları ilə məlumat mübadiləsi.

Nəticə: əməliyyat yükü azalır, hesabatların hazırlanması sürətlənir, izlənmə və yerli normalara uyğunluq təmin edilir.

2) Əhatə dairəsi (scope)

Identifikasiya və yoxlama: KYC/KYB statusları, yoxlama səviyyələri, sənədlər.
AML/sanksiyalar/PEP: skrininq, əməliyyatların monitorinqi, STR/SAR, alertlər.
Məsuliyyətli oyun (RG): limitlər, özünü istisna, «cool-off», davranış risk şkalaları.
Ödənişlər və əməliyyatlar: depozitlər/nəticələr, chargeback, bonus mexaniklər.
Hesabat: GGR/vergilər, oyunçu/sessiya reyestrləri, marketinq məhdudiyyətləri, təhlükəsizlik hadisələri.
Audit və saxlama: dəyişməz log (WORM), Legal Hold, DSAR/RTBF.

3) İstehlakçılar və məlumat istehsalçıları

İstehlakçılar: tənzimləyicilər, daxili Compliance/Risk, BI/DWH, SecOps, maliyyə.
İstehsalçılar: iGaming cəbhələri/arxaları, PSP/aquairing, KYC provayderləri, antifrod, CRM, affiliat şəbəkələri.

4) Memarlıq referansı

1. Edge/API-шлюз (mTLS, OAuth2/OIDC, rate-limit, WAF).
2. Komplayens xidməti (biznes qaydaları, provayderlərin orkestri, normallaşma).
3. Şina hadisələri (Kafka/Redpanda) - SIEM/DWH/arxiv fan-out.

• Tez sorğular/aqreqasiyalar üçün operativ (PostgreSQL/ClickHouse).
• Arxiv (Object Storage + WORM) dəyişməz artefaktlar və hesabatlar üçün.
• 5. Audit və müşahidə: OpenTelemetry (trace_id), log indeksləşdirilməsi, daşbordlar.
• 6. Provayder konnektorları: KYC, sanksiyalar, RG modulları, e-imza ilə dövlət portalları.

5) Əsas end nöqtələri (v1)

5. 1 KYC/KYB və sanksiyalar

'POST/v1/kyc/check' - KYC yoxlama sorğusu (idempotent).
'GET/v1/kyc/{ user _ id }/status' - cari səviyyə və etibarlılıq müddəti.
'POST/v1/sanctions/screen' - sanksiya/RER skrininqi.
'GET/v1/sanctions/{ user _ id }/hits' - uyğunluq/eskalasiya.

5. 2 AML və əməliyyatların monitorinqi

'POST/v1/aml/transaction' - hadisənin göndərilməsi (deposit/withdraw/bet/payout).
`GET /v1/aml/alerts? state = open '- açıq alert/cases.
'POST/v1/aml/str' - STR/SAR-ın formalaşdırılması və çatdırılması (bazarda).

5. 3 Responsible Gaming (RG)

'POST/v1/rg/self-exclusion' - özünü istisna etmək/aradan qaldırmaq.
'GET/v1/rg/limits/{ user _ id}' - limitlər (depozit/bahis/vaxt).
'POST/v1/rg/assess' - davranış riskinin qiymətləndirilməsi.

5. 4 Hesabat və reyestrlər

'POST/v1/reports/generate' - hesabatın generasiyası (növü, müddəti, yurisdiksiyası).
'GET/v1/reports/{ report _ id}' - status, artefaktın yüklənməsi (PDF/CSV/JSON), hash.
'GET/v1/registries/{ type}' - paginasiya ilə reyestrlər (oyunçular, sessiyalar, bonuslar, GGR).

5. 5 Audit və hüquqi əməliyyatlar

'GET/v1/audit/events' - hadisələrin seçimi (ECS/OCSF sahələri üzrə filtr).
'POST/v1/legal/hold' - Legal Hold-un obyekt/qovluqda quraşdırılması/çıxarılması.
'POST/v1/privacy/dsar' - DSAR-ın işə salınması, statuslar, paketlərin ixracı.

6) Məlumat modelləri (qısaca)

6. 1 Əməliyyat hadisəsi (JSON)

json
{
"idempotency_key": "trx-8b1a9953",
"timestamp": "2025-11-01T16:02:11Z",
"user": {"id":"U-12345","dob":"1999-04-21","country":"EE"},
"transaction": {
"id": "T-778899",
"type": "deposit",
"amount": {"value": 200. 00, "currency": "EUR"},
"method": "card",
"psp_ref": "PSP-222-ABC"
},
"context": {
"ip": "198. 51. 100. 10",
"device_id": "d-9af0",
"session_id": "s-2233",
"trace_id": "f4c2..."
},
"labels": {"market": "EE", "affiliate": "A-77"}
}

6. 2 Nəticə KYC

json
{
"user_id": "U-12345",
"level": "L2",
"status": "verified",
"expires_at": "2026-04-21",
"checks": [
{"type":"document","result":"pass"},
{"type":"liveness","result":"pass"},
{"type":"pep_sanctions","result":"no_hit"}
],
"provider": {"name":"KYCX","reference":"KYCX-4455"}
}

6. 3 Hesabatın təsviri

json
{
"report_id": "RPT-EE-GGR-2025Q3",
"type": "ggr_quarterly",
"jurisdiction": "EE",
"period": {"from":"2025-07-01","to":"2025-09-30"},
"status": "ready",
"artifact": {
"format": "CSV",
"size_bytes": 183442,
"sha256": "c9b1f...e21",
"download_url": "urn:reports:RPT-EE-GGR-2025Q3"
},
"notes": "Rounded to cents; FX=ECB daily"
}

7) Təhlükəsizlik və giriş

Autentifikasiya: OAuth2/OIDC (client credentials, JWT), isteğe bağlı mTLS.
Authorization: RBAC/ABAC; ayrı-ayrı scopes ('aml: write', 'kyc: read', 'reports: generate').
Şifrələmə: TLS 1. 2+ in-transit; KMS/CMK vasitəsilə at-rest; həssas sahələr üçün JWE.
PII-minimallaşdırma: minimum saxlamaq; PAN/IBAN maskalamaq; təxəllüs 'user. pseudo_id`.
Giriş jurnalı: «həssas» end-pointlərin bütün oxunuşlarının auditi, kütləvi boşaltmalar üçün alertlər.
Legal Hold və Retenshn: WORM-Depolama Hesabatları və STR; 5-7 il saxlama siyasəti (bazarlar üzrə).

8) Version və uyğunluq

URI versiyası: '/v1 ', '/v2'; minor dəyişikliklər - genişlənən sahələr vasitəsilə.
Deprecation-policy: ≥ 6-12 ay dəstək; başlıqlar 'Sunset', 'Deprecation'.
Sxemlər: JSON Schema + OpenAPI; müqavilələr CI-də təsdiqlənir.
Miqrasiya: adapterlər/feature-bayraqlar, keçid dövrü üçün ikitərəfli uyğunluq.

9) Etibarlılıq: idempotentlik və «düz bir dəfə»

Idempotency-Key in 'POST' (açarları 24-72 saat ≥ saxlayın).
At-least-once şin vasitəsilə çatdırılma + qəbulda duplication (event id/hash).
İnteqrasiya üçün Outbox/Inbox-pattern, eksponent fasilə və jitter ilə retray.
Sifariş: determinizm üçün 'user _ id '/' account _ id' partizan açarları.

10) Paginasiya, filtrlər, axtarış

Pagination: cursor-based ('page _ token', 'limit <= 1000').
Filtrlər: yurisdiksiya, dövr, status, provayder, risk-qiymətləndirmə.
Tam mətnli axtarış: audit/reyestrlər üçün (sahələrin məhdud alt çoxluğu).
İxrac: asenxron, ölçü limiti, hash imzası ilə arxiv hazırlanması.

11) Məhdudiyyətlər və kvotalar

Rate-limits per client/route (məsələn, 100 rps burst, 1000 rpm sustained).
Budget-limits ağır hesabatlar (kreditlər/gün).
N + 1-dən qorunma: batches və yığılmış end nöqtələri.
Tarixi seçimlərin dərinliyinin məhdudlaşdırılması (məsələn, 24 aylıq onlayn ≤, arxiv).

12) Daşbordlar və SLO

Ingest lag p95 <30 san; KYC müvəffəqiyyəti> 99%; STR-SLA - göndərmə ≤ 24 saat.
API mövcudluğu ≥ 99. 9%; Latency p95 <300 ms oxumaq üçün; <800 ms qeyd üçün.
Hesabatların saxlanması Cost/GB; Ack-rate tənzimləyicilərə bildirişlər.
Widget: AML alert istilik xəritəsi, KYC hunisi, ölkələr üzrə hesabatların verilməsi, STR növbəsi.

13) Yurisdiksiyalar: mapping və şablonlar

Bazar hesabat şablonları (sahələr, formatlar, tezlik): 'EE', 'LT', 'LV', 'RO', 'MT', 'UK' və s.
Mapping terminləri (GGR/NGR, bonuslar, depozit limitləri, yaş nəzarəti).
Timzon/təqvimlərin lokalizasiyası; FX mənbəyinin fiksasiyası; DST təsir nişanı.
Sxem kataloqu: 'reports/{ jurisdiction }/{ type }/{ version} .schema. json`.

14) Səhv emalı (vahid format)

json
{
"error": {
"code": "RATE_LIMIT_EXCEEDED",
"message": "Too many requests",
"request_id": "req-7f91",
"hint": "Reduce RPS or request higher quota",
"retry_after": 30
}
}

Частые коды: `INVALID_SCHEMA`, `NOT_AUTHORIZED`, `LEGAL_HOLD_ACTIVE`, `PROVIDER_TIMEOUT`, `REPORT_NOT_READY`.

15) Test və sertifikatlaşdırma

Müqavilə testləri (OpenAPI → test müştərilərin generasiyası).
Yurisdiksiya fiksturları, hesabatlar üçün golden-files.
Log PII sahələrinin «qara siyahıları»; sirlərin statik analizi.
Hesabat arxivlərinin bərpası üçün müntəzəm DR təlimləri.

16) Nümunələr

16. 1 Hesabatın generasiyası

Sorğu

http
POST /v1/reports/generate
Content-Type: application/json
Authorization: Bearer <token>

json
{
"type": "ggr_monthly",
"jurisdiction": "EE",
"period": {"from":"2025-10-01","to":"2025-10-31"},
"format": "CSV",
"notify": ["compliance@company"],
"parameters": {"include_bonus_breakdown": true}
}

Cavab

json
{"report_id":"RPT-EE-GGR-2025-10","status":"processing","eta_seconds":120}

16. 2 STR/SAR göndərilməsi

json
{
"case_id": "AML-2025-0091",
"user_id": "U-12345",
"reason": "Structuring deposits under threshold",
"evidence": ["txn:T-778899","txn:T-778900"],
"attachments": ["urn:doc:kyc:U-12345:v3"],
"jurisdiction": "EE"
}

16. 3 Özünü istisna

json
{
"user_id":"U-12345",
"type":"national_register",
"action":"enable",
"effective_from":"2025-11-01",
"effective_to":"2026-11-01"
}

17) Daxili audit və dəyişməzlik

Avtoloqlaşdırma: 'request _ id', 'trace _ id', çağıran müştəri, scope.
Hesabat paketlərinin imzası (SHA-256) + hash reyestri; periodik ankerinq.
WORM-arxiv tənzimləyici boşaltma və STR üçün.
Qaydaların və şablonların konfiqurasiya tarixi (link siyasət dəyişiklik jurnalı).

18) Proseslər və RACI (qısaca)

R: Compliance Platform komandası (inkişaf/əməliyyat).
A: Baş Compliance/CISO (siyasətlər, büdcələr, prioritetlər).
C: Legal/DPO, Maliyyə, Memarlıq, Data.
I: Məhsul, Dəstək, Tərəfdaşlar (PSP/KYC).

19) Tətbiqi yol xəritəsi

1. '/v1/kyc/check ', '/v1/aml/transaction', '/v1/reports/generate '(2-3 əsas şablon).

2. OAuth2 + rate-limit + əsas idempotentlik.

3. Object Storage-da hash-imzalı hesabat arxivi.

4. Dashboard SLO və vəzifə növbələri.

• Yurisdiksiya şablonları (5-8 bazar), STR/SAR, RG-end-pointlər, DSAR.
• Provayder-aqreqasiya (KUS/sanksiyalar), retrai, dedupe.
• Legal Hold siyasətçiləri, WORM, qabaqcıl rollar.

• Hesabatlar/AML qaydaları üçün Rule-as-Code, dəyişiklik simulyatoru.
• Multi-tenant (B2B2C, markalar/dərilər), kvotalar və billing.
• Xarici inteqratorlar üçün qum qutusu və sertifikatlaşdırma.

20) Tipik səhvlər və onlardan necə qaçmaq olar

Bazarlar üzrə sxemlərin müxtəlifliyi: mərkəzləşdirilmiş kataloq, auto-lint sxemləri.
İdempotentlik yoxdur: 'idempotency _ key' və duplikasiya pəncərəsini daxil edin.
Log sirləri: ingest filtrləri, statik analiz.
Uzun online hesabatlar: status-pulling və bildirişlərlə asenxron olun.
Zəif RBAC: 'read _ reports', 'generate _ reports', 'admin'.
Valyuta/zamanlama: 'fx _ source', 'timezone' yazın, UTC saxlayın.

21) Lüğət (qısa)

KYC/KYB - identifikasiya fiziki/jur. üz.
AML/STR/SAR - çirkli pulların yuyulmasına qarşı mübarizə/şübhəli fəaliyyət/mesaj.
RG - məsuliyyətli oyun.
GGR/NGR - oyunların ümumi/xalis gəliri.
WORM - dəyişməz saxlama (write-once).
Rule-as-Code - testlər/versiyalaşdırma kodu kimi qaydalar.

22) Yekun

Uyğunluq və hesabat API, iGaming əməliyyatları ilə tənzimləyicilərin tələbləri arasında sabit, təhlükəsiz və standartlaşdırılmış bir təbəqədir. Bu məqalədən prinsiplərə riayət etmək (ciddi sxemlər, təhlükəsiz inteqrasiya, idempotentlik, dəyişməz audit, yurisdiksiya şablonları və SLO) proqnozlaşdırıla bilən, sürətli yoxlamalar və əsas bazarlarda risklərin azaldılmasını təmin edir.