Уведомления о заявках с сайта в MAX: что нужно для подключения

Уведомления о заявках с сайта в MAX приходят от вашего бота: человек оставил заявку, бот пишет её в группу, где сидят менеджеры. Чтобы такого бота завести, нужны три вещи.

• Верифицированный профиль организации в MAX для партнёров. Бота создаёт только юрлицо, ИП или самозанятый – резидент РФ, прошедший проверку на платформе. Профиль заводится в кабинете MAX для партнёров: он открывается из чата "MAX для бизнеса" или в браузере на business.max.ru. С личного аккаунта без профиля организации бота не создать.
• Время на модерацию. Новый бот проходит проверку MAX, и до её окончания уведомления не заработают. Официально проверка занимает до 48 часов по рабочим дням, о решении сообщает бот "MAX для бизнеса" в личных сообщениях. На практике у моих клиентов модерация шла дольше, до нескольких недель, особенно если бота возвращали со статусом "Нужны исправления". Закладывайте это время в план запуска сайта.
• Компьютер под рукой. Токен бота – ключ, по которому сайт отправляет сообщения. В мобильной версии кабинета он может быть недоступен, тогда его берут в веб-версии.

Заявка с формы – это персональные данные посетителя: имя, телефон. Отправляя их в мессенджер, вы передаёте их ещё одному сервису: проверьте правовое основание такой передачи по 152-ФЗ и опишите фактический порядок обработки в политике обработки персональных данных сайта.

Так устроено, например, на сайте Сарайли: заявки и заказы приходят менеджерам в групповой чат отдела в MAX.

Когда бот прошёл модерацию и получил статус "Опубликован", нажмите на три точки в его карточке и выберите "Настройки".

На вкладке "Настройки" есть два важных места.

1. "Добавление в групповые чаты" – включите. Без этого переключателя бота не получится добавить в группу для заявок, а значит, ему некуда будет писать. На телефоне и в веб-версии он стоит прямо под токеном.
2. "Токен доступа". Если с телефона вместо токена видна надпись "Доступен в веб-версии", нажмите "Перейти в веб-версию" или откройте настройки бота с компьютера. По документации MAX токен можно получить и в мини-приложении или у бота "MAX для бизнеса".

В веб-версии нажмите на значок копирования рядом с токеном и сохраните изменения.

Токен – это ключ от бота: с ним кто угодно сможет писать от имени вашей компании. Отправьте его разработчику в личные сообщения – не в общий чат и не в письмо, где в копии другие люди. Если токен попал не туда, нажмите кнопку обновления рядом с ним, чтобы выпустить новый, и передайте разработчику уже его.

В списке чатов нажмите "+" и выберите "Создать группу". Назовите её понятно, например "Заявки с сайта".

Добавьте в группу:

• бота – по его имени вида @id…_bot из карточки в кабинете, и назначьте его администратором группы: события из групп MAX отдаёт только боту-администратору;
• разработчика, который подключает сайт, – ему нужно увидеть, что бот добавлен, и проверить первое сообщение;
• сотрудников, которые обрабатывают заявки.

Передайте разработчику токен и сразу сообщите, что бот добавлен в группу: адрес группы он берёт из события о добавлении, а события хранятся недолго. Всё остальное – его часть работы, она описана ниже.

Дальше – для того, кто подключает сайт. Нужны два значения: токен бота и ID группы.

Сертификат Минцифры

Сертификат API MAX (platform-api2.max.ru) выдан удостоверяющим центром Минцифры – "Russian Trusted Root CA". Его нет в стандартном наборе сертификатов Linux, поэтому, если он на сервере не установлен, запрос падает с ошибкой SSL certificate problem: unable to get local issuer certificate. Я проверила это на рабочем VPS с Ubuntu: без сертификата curl возвращает код 0 и эту ошибку, с сертификатом – ответ API. Это частая причина того, что "не приходят уведомления", хотя бот и группа настроены верно.

Скачайте корневой сертификат Russian Trusted Root CA со страницы Минцифры на Госуслугах (gosuslugi.ru/crt), положите его в папку сайта, например local/php_interface/certs/ – сертификат публичный, скрывать его не нужно, – и укажите в запросе. Корневого достаточно: промежуточный сертификат сервер API отдаёт сам. Отключать проверку SSL нельзя: тогда токен можно перехватить, подменив сервер API.

# корневой сертификат Минцифры в формате PEM (ссылка со страницы gosuslugi.ru/crt)
curl -o russian_trusted_root_ca.pem https://gu-st.ru/content/lending/russian_trusted_root_ca_pem.crt
head -1 russian_trusted_root_ca.pem   # должно быть -----BEGIN CERTIFICATE-----

# если сертификат скачан файлом .cer в двоичном виде - перевести в PEM:
openssl x509 -inform der -in russian_trusted_root_ca.cer -out russian_trusted_root_ca.pem

Как узнать ID группы

Когда бота добавляют в группу, MAX создаёт событие bot_added с полем chat_id – это и есть ID группы. Если вебхук у бота не настроен, событие можно забрать один раз запросом:

curl --cacert russian_trusted_root_ca.pem \
  -H "Authorization: ТОКЕН_БОТА" \
  "https://platform-api2.max.ru/updates?types=bot_added&timeout=0"

В ответе найдите "update_type": "bot_added" и возьмите chat_id. События хранятся ограниченное время, поэтому делайте запрос сразу после того, как бота добавили в группу. Без параметра marker запрос возвращает только последнее обновление: если после добавления бота в группе уже что-то происходило, повторите запрос с marker из предыдущего ответа. Если событий нет совсем, проверьте, что бот – администратор группы, удалите его и добавьте заново. Такой опрос – для разработки и проверки; постоянно принимать события MAX велит через вебхук, и если он у бота настроен, ищите событие там.

Метод GET /chats, который советуют во многих инструкциях, с июня 2026 года не поддерживается – ID группы теперь берут из событий.

Проверочное сообщение

curl --cacert russian_trusted_root_ca.pem \
  -H "Authorization: ТОКЕН_БОТА" \
  -H "Content-Type: application/json" \
  -d '{"text": "Проверка уведомлений с сайта"}' \
  "https://platform-api2.max.ru/messages?chat_id=ID_ГРУППЫ"

Сообщение пришло в группу – связка работает. Токен передаётся только в заголовке Authorization: MAX больше не принимает токен в параметре адреса.

Отправка заявок с сайта на 1С-Битрикс

Пример для 1С-Битрикс с веб-формами. Токен и ID группы – в штатном файле настроек, который не перезаписывается обновлениями:

<?php
// bitrix/.settings_extra.php - файл не перезаписывается обновлениями Битрикса
return [
    'max_notify' => [
        'value' => ['token' => 'ТОКЕН_БОТА', 'chat_id' => 'ID_ГРУППЫ'],
        'readonly' => true,
    ],
];

Функция отправки и обработчик события новой заявки – минимальный пример без гарантии доставки:

<?php
// local/php_interface/include/max_notify.php
// Отправка заявки с сайта в группу MAX. Токен и ID группы - в bitrix/.settings_extra.php, не в коде

function maxNotify(string $text): bool
{
    $cfg    = \Bitrix\Main\Config\Configuration::getValue('max_notify') ?: [];
    $token  = $cfg['token'] ?? '';
    $chatId = $cfg['chat_id'] ?? '';
    if (!$token || !$chatId) {
        return false;
    }

    $ch = curl_init('https://platform-api2.max.ru/messages?chat_id=' . urlencode($chatId));
    curl_setopt_array($ch, [
        CURLOPT_POST           => true,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_CONNECTTIMEOUT => 3,
        CURLOPT_TIMEOUT        => 5,
        CURLOPT_HTTPHEADER     => [
            'Authorization: ' . $token,          // токен - только в заголовке
            'Content-Type: application/json',
        ],
        CURLOPT_POSTFIELDS     => json_encode(['text' => mb_substr($text, 0, 4000, 'UTF-8')],
                                              JSON_UNESCAPED_UNICODE),
        // Сертификат API MAX выдан УЦ Минцифры - указываем корневой сертификат явно,
        // проверку SSL не отключаем
        CURLOPT_CAINFO         => \Bitrix\Main\Application::getDocumentRoot()
                                  . '/local/php_interface/certs/russian_trusted_root_ca.pem',
    ]);
    curl_exec($ch);
    $code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    $error = curl_error($ch);
    curl_close($ch);

    if ($code !== 200) {
        AddMessage2Log('MAX: код ' . $code . ' ' . $error, 'max_notify');
        return false;
    }
    return true;
}

// Веб-формы Битрикса: новая заявка -> сообщение в группу.
// Только нужные формы; поля - текстовые и варианты выбора (даты и файлы пример не разбирает)
AddEventHandler('form', 'onAfterResultAdd', function ($formId, $resultId) {
    $forms = [1, 3];   // ID веб-форм, заявки из которых отправляем
    if (!in_array((int)$formId, $forms, true)) {
        return;
    }
    $result = [];
    $answers = [];
    CFormResult::GetDataByID($resultId, [], $result, $answers);

    $lines = ['Новая заявка с сайта, форма ' . $formId];
    foreach ($answers as $field) {
        foreach ($field as $answer) {
            // USER_TEXT - что ввёл посетитель, ANSWER_TEXT - выбранный вариант;
            // сравниваем с пустой строкой, иначе введённый "0" заменится названием варианта
            $value = trim((string)($answer['USER_TEXT'] ?? ''));
            if ($value === '') {
                $value = trim((string)($answer['ANSWER_TEXT'] ?? ''));
            }
            if ($value !== '') {
                $lines[] = strip_tags($answer['TITLE']) . ': ' . $value;
            }
        }
    }
    maxNotify(implode("\n", $lines));
});

Подключите файл в local/php_interface/init.php: require_once __DIR__ . '/include/max_notify.php';. Ошибки пишутся через AddMessage2Log – он работает, только если в bitrix/php_interface/dbconn.php задана константа LOG_FILENAME.

Если заявки сохраняются в инфоблок, вызывайте maxNotify() из обработчика OnAfterIBlockElementAdd; если форма своя – прямо в её обработчике после сохранения.

Ограничения API, которые стоит учесть: текст сообщения – до 4000 символов, не больше двух сообщений в секунду в одну группу.

Пример отправляет сообщение прямо при сохранении заявки: если MAX не отвечает, посетитель ждёт до 5 секунд (общий лимит запроса вместе с соединением), заявка сохранится на сайте, а уведомление не придёт – только запись в логе. Повторных попыток нет. Для небольшого потока заявок этого достаточно; для рабочей интеграции сохраняйте уведомление в очередь и отправляйте его отдельным агентом с ограничением скорости и повторными попытками.