拉卡拉 API 支付接口接入需要 HTTPS 域名吗？API 回调地址安全要求

一、为什么必须用HTTPS？

HTTPS vs HTTP 安全对比

二、回调地址的5项安全要求

API回调地址5项安全要求

2.1 必须HTTPS协议

回调地址必须以https://开头，不能用http://。这是硬性要求，配置了HTTP地址会直接报错。SSL证书用Let's Encrypt免费证书就行，不要求必须付费证书。

2.2 公网可访问

回调地址必须是公网能访问的地址，不能是localhost、内网IP、127.0.0.1。拉卡拉服务器要能主动POST请求到你的接口。

2.3 域名已备案

国内服务器必须用已备案的域名。用IP地址直接当回调地址是不行的，必须有域名且完成ICP备案。

2.4 IP白名单配置

在拉卡拉商户后台配置IP白名单，只有白名单里的IP才能调用你的接口。同时把拉卡拉的回调IP加入你服务器的白名单。

2.5 回调必须验签

拉卡拉推送回调时会带签名，你必须验证签名是否合法，防止有人伪造回调请求给你假的支付成功通知。

三、回调通知是怎么工作的？

回调通知完整流程

1. 用户完成支付：顾客在你的小程序/APP/网页付完款

2. 拉卡拉服务器收到支付结果：拉卡拉确认支付成功

3. 拉卡拉POST回调到你的接口：带着订单号、支付金额、签名等参数

4. 你验证签名：确认是拉卡拉发的，不是伪造的

5. 更新订单状态：把订单标记为已支付

6. 返回SUCCESS：告诉拉卡拉你收到了，不用再推了

四、常见问题解答

Q：没有域名能用吗？

不能。回调地址必须是已备案的域名，用IP地址不行。先去买个域名（几十块钱/年），备案好了再对接。

Q：SSL证书要花钱买吗？

不用。Let's Encrypt免费证书就够了，自动续签。或者用云服务商提供的免费SSL证书。

Q：测试环境能不能用HTTP？

测试环境一般可以用HTTP调试，但正式上线必须用HTTPS。建议从一开始就用HTTPS，省得后面改。

Q：回调地址能改吗？

能改，但建议在没有进行中的交易的时候改。改完正在进行的订单可能收不到回调。

Q：收不到回调怎么办？

检查三件事：1.回调地址是不是公网能访问 2.有没有防火墙拦截拉卡拉的IP 3.接口返回是不是SUCCESS。

本文基于拉卡拉开放平台官方规范及行业通用安全标准整理，仅供参考。具体技术要求以拉卡拉官方文档及对接技术支持答复为准。