Разверните BTCPay Server на своём VPS

Обычно это подают как «без комиссий», хотя это самая неинтересная часть истории. Меняются четыре вещи, и только одна из них — про деньги:

• Никто не держит ваши деньги, пока они в пути. Сторонний процессор принимает платёж клиента на собственный кошелёк и лишь потом зачисляет вам. Именно в этом зазоре и случаются блокировки, проверки и заморозки. BTCPay вообще ничего не получает: клиент платит на адрес, выведенный из вашего ключа, и монеты — ваши уже с первого подтверждения.
• Никто не спрашивает, кто вы. Подключение к процессору — это процедура идентификации, в конце которой стоит банк. Установка программы — нет. В этом вся разница, и именно поэтому на запрос «как принимать крипту без KYC» всегда один ответ: «запустите процессор сами».
• Стоимость перестаёт расти вместе с вами. Процент берётся всегда и растёт вместе с успехом. VPS и домен стоят одинаково что в удачный месяц, что в неудачный.
• Вам достаётся вся эксплуатация. Аптайм, обновления, резервные копии — и роль человека, которому пишут, когда клиент говорит, что инвойс так и не оплатился. Это настоящая цена, и платится она вниманием, а не деньгами.

Чего вы не получаете — так это того единственного, в чём процессоры действительно хороши: превращения монет в деньги на банковском счёте за вас. BTCPay хранит то, чем ему заплатили, и в той же монете. Конвертация, выставление счетов в фиате, бухгалтерская выгрузка, которую признаёт налоговая, — всё это отдельные задачи, и большинство способов их решить возвращают ровно того идентифицированного посредника, которого вы только что убрали. Решите, какая половина этой сделки вам на самом деле была нужна, прежде чем что-то строить.

Название вводит в заблуждение — в чём-то даже полезно. «BTCPay Server» — это не одна программа: стандартное развёртывание поднимает сразу небольшой флот контейнеров, и понимание, что есть что, — вот разница между расчётом размера и угадыванием:

• Bitcoin Core. Настоящая полная нода, проверяющая всё с генезис-блока. Именно этот компонент съедает диск, почти весь первый день и практически всю память. Всё остальное по сравнению с этим бесплатно.
• NBXplorer. Индексатор между Core и BTCPay. Вы даёте ему расширенные публичные ключи; он отслеживает производные адреса и сообщает BTCPay, когда приходят деньги. Это также тот компонент, которому небезразлична обрезка — почему, станет ясно в разделе про сбои.
• Сам BTCPay Server. Приложение: магазины, инвойсы, страница оплаты, касса, вебхуки, Greenfield API. По сравнению с остальным — скромно, несколько сотен мегабайт памяти.
• PostgreSQL. Инвойсы, магазины, настройки, пользователи, API-ключи. Немного данных, и именно ради них вы вообще делаете резервные копии.
• nginx с автоматическими сертификатами. Обратный прокси плюс компаньон, который выпускает и продлевает сертификат для вашего хоста. Именно поэтому порты 80 и 443 должны быть по-настоящему доступны из интернета.
• Опционально — Lightning-нода (Core Lightning или LND) и демон Monero с wallet RPC рядом с ним — каждый тянет за собой свою цепочку и свой аппетит к диску.

Так что вопрос размера — никогда не «насколько большим должен быть BTCPay». Это всегда «сколько цепочки я храню и сколько именно цепочек». Ответьте на это, и тариф выберется сам.

Проект указывает 2 GB RAM со свопом как минимум и 4 GB как рекомендацию, и разрыв между этими двумя цифрами — это разрыв между установкой, которая формально завершается, и той, на которую не стыдно пустить клиентов. Рантайм приложения, PostgreSQL и синхронизирующийся bitcoind, делящие 2 GB на троих, всё-таки справятся — медленно, и файлу подкачки придётся делать работу, которой он делать не должен.

Диск определяется тем, насколько жёстко вы обрезаете цепочку, а развёртывание выражает это как фрагмент, который вы передаёте установщику. В семействе примерно так: opt-save-storage — около 100 GB файлов блоков, -s — около 50 GB, -xs — около 25 GB и -xxs — около 5 GB. Последний вариант — ловушка для всего, что должно прожить долго: истории остаётся так мало, что даже обычное обслуживание начинает сбоить. Для магазина разумный диапазон — -s или -xs.

Конкретные цифры из тарифной сетки, потому что «зависит от ситуации» — не ответ:

• Только Bitcoin, с обрезкой, один магазин — Scout, 2 vCPU / 4 GB / 70 GB NVMe, $9.00/mo. Честный минимум и правильный ответ для большинства читателей.
• Bitcoin и Lightning — Runner, 3 vCPU / 6 GB / 100 GB, $14.00/mo. Демон Lightning лёгкий по диску, но требовательный к постоянному онлайну; запас — как раз для ноды под ним.
• Bitcoin, Lightning и Monero — Alpha, 6 vCPU / 12 GB / 200 GB, $28.00/mo. Один прунированный блокчейн Monero — это уже около 85 GB, так что при двух цепочках и двух индексаторах 8 GB начинает не хватать. Hunter (4 vCPU / 8 GB / 140 GB, $19.00/mo) подходит, только если Bitcoin жёстко обрезан и остаётся таким.
• Нода без обрезки за магазином — уже другая задача с другим счётом. В руководстве по полной ноде есть эти цифры, и начинаются они с Fenrir.

CPU важен ровно один раз. Проверка подписей во время начальной загрузки блоков распараллеливается, так что от двух до четырёх vCPU превращают первую синхронизацию из нескольких дней в примерно одни сутки, а затем всё возвращается к простою. Трафик — это разовые расходы на всю цепочку, а порт на 1 Gbps с безлимитным трафиком обходится без счетов за превышение в конце месяца. Задержка платёжному процессору безразлична, так что выбирайте локацию по юрисдикции, а не по миллисекундам — Амстердам, Париж, Бухарест и София — все по базовой цене.

Список короткий, и один пункт в нём — не технический.

• Домен с A-записью, уже указывающей на сервер. Сертификат выпускается по HTTP для этого хоста, поэтому DNS обязан резолвиться до запуска установщика, а не во время него. Обычная форма — поддомен вроде pay.example.com.
• Порты 80 и 443, открытые всему миру. Порт 80 не опционален, даже если потом на нём не будет ничего полезного: он нужен для проверки при выпуске сертификата.
• Debian 13 из библиотеки шаблонов, на машине, которая уже прошла десятиминутный курс защиты. Сделайте это заранее — когда стек уже работает, аккуратно встроить защиту намного сложнее.
• Кошелёк, который уже под вашим контролем, и его расширенный публичный ключ. Sparrow, Electrum или аппаратный кошелёк. Держите его наготове до установки, чтобы не поддаться соблазну дать серверу сгенерировать кошелёк за вас.
• Email для удостоверяющего центра. На него приходят только предупреждения об истечении сертификата — и больше ничего.
• Решение по обрезке, принятое уже сейчас. Передумать позже значит пересинхронизировать цепочку с нуля, а второй раз потратить на это сутки вам не захочется.

Почти любой плохой исход с процессором на собственном сервере тянется от одного и того же решения, принятого рано и небрежно: позволить серверу держать то, чем можно потратить. Стоит явно разобрать три случая, потому что они по-настоящему разные.

• Bitcoin в блокчейне: только для просмотра, всегда. BTCPay хранит расширенный публичный ключ и ничего больше. Если сервер скомпрометирован, атакующий узнаёт, сколько вам заплатили, и может подменить адрес будущих инвойсов — это настоящая атака, и именно поэтому кошелёк вашего магазина стоит перепроверить после любого инцидента — но тронуть уже полученную монету он не может.
• Lightning: горячий по определению. Каналы финансируются монетами, которыми сервер может тратить, потому что канал иначе просто не работает. Это осознанное исключение, и раздел выше как раз про его размер.
• Monero: только для просмотра, структурно. Приватный ключ просмотра раскрывает каждый входящий платёж и не даёт полномочий ни на один из них. На стороне Bitcoin аналога этому нет.

Единственная функция, которая намеренно ломает эту модель, — Payjoin. Она позволяет вашему серверу добавить свой вход в транзакцию клиента, что заметно подрывает эвристику общего входа, на которую опирается анализ блокчейна, и даёт реальный выигрыш в приватности обеим сторонам — но получатель должен уметь подписывать, а значит, внутри BTCPay нужен горячий кошелёк. Это настоящий компромисс, а не бесплатная функция. Идите на него осознанно и пополняйте этот кошелёк так же, как Lightning-кошелёк: суммой, а не всем, что у вас есть.

А если вы дали мастеру установки сгенерировать кошелёк магазина, потому что так было быстрее всего: запишите сид, который он вам показал, проверьте его в офлайн-кошельке, а затем спланируйте переход на схему только для просмотра. Сид, который хоть раз побывал на сервере, торчащем в интернете, — это сид с запущенным обратным отсчётом.

Разложите состояние по тому, чего будет стоить его воссоздать, — ответы получатся очень разными:

• Цепочка. Это не задача для бэкапа. Это публичные данные, и они пересинхронизируются — медленно, но бесплатно. Никогда не делайте их резервную копию.
• База данных. Инвойсы, магазины, настройки, пользователи, API-ключи. Вот это настоящий бэкап, он маленький, и его потеря стоит вам бухгалтерской записи о каждой продаже — не денег, а бумажной работы.
• Ваш ончейн-кошелёк. Уже в безопасности, потому что ключа здесь никогда не было. Это и есть награда за пятый шаг.
• Состояние каналов Lightning. Вот это по-настоящему больно. Статическая резервная копия канала позволяет вернуть средства в ваших каналах после полной потери, принудительно их закрыв; сами каналы она не восстанавливает, а если она устарела — она бесполезна. Она меняется при каждом открытии или закрытии канала, так что ей место в автоматической копии за пределами сервера, а не в папке, о которой вы вспоминаете раз в квартал.
• Кошелёк Monero только для просмотра. Восстанавливается из адреса и ключа просмотра, которые вы и так храните офлайн. Делайте резервную копию их, а к файлам кошелька относитесь как к кешу.

Развёртывание поставляется со скриптами, которые делают это правильно:

btcpay-backup.sh    # stops the stack, dumps Postgres, tars the config, restarts
btcpay-restore.sh   # puts one of those archives back

Эта пауза и есть весь смысл — горячая копия работающей базы данных может восстановиться во что-то весьма занимательное. Шифруйте всё, что покидает машину, и помните: еженедельный снапшот, включённый в каждый тариф, — это удобство, а не резервная копия: снапшот живёт там же, где и то, что он должен защищать.

Примерно в порядке того, как часто они стоят кому-то целого вечера:

• Сертификат никак не выпускается. В девяти случаях из десяти A-запись создали уже после запуска установщика, либо порт 80 отфильтрован. Почините DNS, убедитесь, что имя резолвится откуда-то, кроме вашего собственного ноутбука, и перезапустите установочный скрипт. Слепые повторные попытки против удостоверяющего центра приводят к лимиту запросов и неделе ожидания, так что между попытками нужно что-то менять.
• У импортированного расширенного ключа с историей нулевой баланс. Это и есть ловушка обрезки. Индексатор находит новые платежи, наблюдая за новыми блоками, но чтобы восстановить прошлое уже существующего кошелька, нужно прочитать блоки, которые нода с обрезкой уже удалила. Заведите для магазина свежий аккаунт — и проблемы просто не будет; а если вам обязательно нужно импортировать историю, понадобятся нода без обрезки и rescan.
• «Клиент заплатил, а инвойс всё ещё открыт». Обычно это недоплата из-за комиссии кошелька отправителя, инвойс, истёкший, пока платёж висел неподтверждённым, либо политика подтверждений строже, чем вам казалось. Все три случая — это настройки, и именно поэтому сначала стоит протестировать на собственных деньгах.
• Нода незаметно отстаёт. Зависший bitcoind продолжает выдавать адреса и пропускает платежи, ничего не сообщая об этом. Сверяйте высоту блока с любым публичным источником по расписанию и настройте оповещение на разрыв; узнавать об этом от клиента — не вариант.
• Обновление в неподходящий момент. btcpay-update.sh ведёт себя корректно, но перезапускает вообще всё. Запускайте его осознанно, никогда автоматически и никогда во время продажи.
• У адреса появляется репутация. Страница оплаты на IPv4 из чёрного списка — это страница оплаты, которую тихо отвергают некоторые корпоративные сети и почтовые фильтры. Каждый тариф здесь поставляется с выделенным адресом без истории, и его стоит проверить, прежде чем печатать домен хоть где-нибудь.

Программа убирает посредника. Всё остальное — она не убирает, и честно сказать об этом полезнее, чем составить ещё один список возможностей.

Домен — слабое место. Он где-то зарегистрирован, он публично резолвится, и именно на него в первую очередь смотрят. Процессор на собственном сервере, поднятый на хосте, зарегистрированном на ваше имя у регистратора в вашей же стране, убрал деньги из рук третьей стороны, но оставил личность ровно там же, где она и была. Если это важно для того, что вы продаёте, регистратор заслуживает не меньше внимания, чем хостинг.

Юрисдикция — реальная переменная. От того, где стоит машина, зависит, чьё судебное решение до неё дотянется и сколько бюрократии встанет на пути. Это трение и дистанция, а не иммунитет — именно это подробно разбирает статья про офшорный хостинг, и её стоит прочитать прежде, чем выбирать флаг вместо сети.

Аккаунт — последнее звено. Аренда сервера по email-адресу и оплата в Monero означает, что никакая выписка по карте не свяжет страницу оплаты с банком — странная вещь упускать из виду, когда вы строите систему, весь смысл которой — обходиться без этого. Каждый тариф здесь по умолчанию без KYC, а в каждой локации выдаётся выделенный чистый IPv4 с кастомным reverse DNS.

А граница проведена явно, а не подразумевается. Ноды, процессоры и магазины — обычная инфраструктура, и здесь им рады; политика допустимого использования короткая, публичная, и у неё есть жёсткий предел. Нужна ли вам лицензия на приём платежей — вопрос о том, что вы продаёте и где вы находитесь, а не о программе — и это вопрос к квалифицированному специалисту, а не к руководству по хостингу.