Магазин в MAX для продавца маркетплейса: что уже можно и чего пока нельзя

В июне 2026 года MAX впервые занял первое место среди мессенджеров в России по месячному охвату аудитории — по данным Mediascope. Приложение запускали около 86 миллионов человек в месяц. Вопрос «идти ли туда продавцу» перестал быть теоретическим.

Ниже — что платформа даёт продавцу прямо сейчас, по официальной документации dev.max.ru, сверенной 7 сентября 2026 года. И отдельным разделом — чего мы не проверяли сами, чтобы это не выглядело опытом, которого у нас нет.

Главное: ИП и самозанятых пустили

Документация платформы для партнёров говорит дословно: подключение к чат-ботам, мини-приложениям и каналам доступно юрлицам, ИП и самозанятым — резидентам РФ. Не могут только физлица и нерезиденты.

Это стоит проверить по дате, потому что в редакции правил августа 2025 года ИП в списке допущенных не было — только организации. Статьи и разборы того периода до сих пор в выдаче, и утверждение «для MAX нужно ООО» кочует по ним как актуальное. Оно устарело.

Одному номеру телефона или почте соответствует один профиль организации, ИП или самозанятого и привязанные к нему сервисы. Сколько ботов помещается в один профиль, документация числом не называет.

Бот заводится не за две минуты

Разница с Telegram здесь принципиальная, и её лучше знать заранее.

Документация формулирует это так: пользователи получают доступ к боту после его успешной модерации. То есть между «решил завести магазин» и «покупатель может в него зайти» появляются два ожидания вместо нуля — верификация профиля и модерация бота. Планировать запуск под дату старта рекламной кампании на этом основании не стоит.

Что переносится из Telegram почти дословно

Проверка подписи мини-приложения

MAX передаёт стартовые параметры в WebAppData во фрагменте URL: user, chat, ip, query_id, auth_date, hash. Подпись проверяется так: вынуть hash, остальное URL-декодировать, отсортировать по ключам, склеить переводом строки, взять HMAC-SHA256("WebAppData", токен_бота) как секрет и сравнить с ним HMAC-SHA256 от строки параметров.

Это тот же алгоритм, что у Telegram, вплоть до ключевой строки WebAppData. Код проверки подписи переносится заменой источника токена, а не переписыванием.

Диплинки

Формат — https://max.ru/<botName>?start=<payload>. Ограничение: если payload длиннее 128 символов, он до бота не дойдёт. Для кода партии или идентификатора товара этого хватает с большим запасом.

Что в Bot API есть и чего в нём нет

API у MAX свой, не телеграмовский. Из полезного продавцу:

• инлайн-кнопки callback, link, request_contact, request_geo_location, open_app, message, clipboard — до 210 кнопок в 30 рядах;
• request_contact — это запрос телефона в одно нажатие, то самое, на чём держится сбор базы;
• open_app — кнопка, которой из бота открывается мини-приложение;
• вебхуки через подписки; long polling документация оставляет для разработки;
• загрузки: картинки до 50 МБ, видео до 250 МБ, аудио до 256 МБ, файлы до 4 ГБ.

Чего нет: питоновского SDK. Официальные — JavaScript и Golang. Если бэкенд на Python, клиент к Bot API пишется руками поверх обычных HTTP-запросов. Работы там немного, но её надо заложить.

Платежи — главная незакрытая дыра

Нативного платёжного API, аналогичного телеграмовскому, в документации MAX не описано. Продавцу, который хочет принимать оплату внутри мини-приложения, остаётся внешний эквайринг: ЮKassa, CloudPayments, Т-Касса встраиваются в мини-приложение так же, как встраивались бы на обычный сайт.

Движение в эту сторону есть: Альфа-Банк объявил о приёме платежей по СБП в MAX, а НСПК и MAX договорились о сервисе бесконтактной оплаты в формате мини-приложения. Но на момент публикации это анонсы, а не строчка в документации, на которую можно опереться при планировании.

Практический вывод для вкладыша в посылке

Если продавец печатает QR-код, ведущий прямой ссылкой в мессенджер, добавление второго мессенджера означает перепечатку тиража. Десять тысяч вкладышей — в макулатуру.

Если QR ведёт на веб-страницу, а выбор мессенджера делается уже на ней, тираж переживает появление MAX без единой правки: меняется содержимое страницы, а не то, что отпечатано на бумаге.

У этого решения была другая первопричина — прямая ссылка в посылке спорна по правилам площадок, и мы разбирали это по пунктам оферт. Появление MAX окупает его во второй раз.

Чего мы не проверяли сами

Всё выше — из документации. Заявку на верификацию мы не подавали, бота не заводили, мини-приложение на MAX Bridge не собирали. Поэтому честный список открытых вопросов:

1. Сколько ботов даёт один профиль. Документация говорит, что зависит от типа профиля, числа не называет. Для сервиса, который заводит бота каждому клиенту, это может оказаться потолком.
2. Сколько на деле идут верификация и модерация. Документация описывает обновление данных как «от нескольких минут до часа, в редких случаях до 24 часов», но общий срок проверки не называет.
3. Проходит ли мини-приложение отдельную модерацию или модерируется только бот.
4. Как на практике проходят самозанятые. Формально допущены; подтверждений практикой мы не видели.
5. Что происходит с ботом при смене владельца профиля.

Первые три дешевле спросить письмом на партнёрский адрес платформы, чем угадывать.

Стоит ли идти туда сейчас

Аргумент за: первое место по месячному охвату и аудитория, которой не нужен VPN. Часть покупателей не открывает телеграмовские ссылки — просто потому, что у них не работает, — и для этой части второй мессенджер не роскошь, а единственный способ дойти.

Аргумент против: платежи не описаны, сроки подключения неизвестны, SDK для Python нет. Если строить канал с нуля прямо сейчас, часть решений придётся принимать вслепую.

Разумный порядок — не выбирать между мессенджерами, а не привязываться к одному: вести покупателя на свою страницу, а выбор мессенджера оставлять ему. Тогда добавление MAX — это правка страницы, а не проект.