Возврат средств по Family Sharing отменяет один платёж, но может оставить пятерых других людей, которые продолжают пользоваться вашим приложением, и только ваш сервер может отключить им доступ

Одна покупка в группе Family Sharing может передать ваше приложение шести людям. Тот, кто заплатил, один из них. Остальные пятеро ни разу не открыли кошелёк, и Apple всё равно ожидает, что ваше приложение будет работать для всех них. Это сделка, на которую вы соглашаетесь в тот момент, когда включаете Family Sharing для встроенной покупки. Именно поэтому возврат по Family Sharing это иной зверь, чем обычный. Когда покупатель получает деньги обратно, продажа отменяется для одной учётной записи, но доступ, который вы предоставили до пяти другим людям, сам собой не выключается. Ваш сервер должен это сделать, и если он был написан так, чтобы следить только за покупателем, он этого не сделает.

Вот вся картина в одном месте. Здесь разбирается, как Apple помечает общую покупку, единственное поле, которое отличает покупателя от семьи, точно когда Apple отправляет вам REVOKE и как его читать, тихая деталь, которая отделяет возврат от того, кто просто вышел из семьи, и во что на самом деле обходится общий возврат, когда вы посчитаете вычисления, уже потраченные на людей, которые вам никогда не платили.

Что раздаёт Family Sharing и скольким людям

Включите Family Sharing для продукта, и вы измените, кто ваш платящий клиент. Семейная группа в Apple может включать до шести человек, одного организатора и до пяти участников. Когда кто-либо в группе покупает продукт, доступный для семейного доступа, все в группе получают к нему доступ. Они не платят. Они не появляются в вашей выручке. Они просто оказываются в вашем приложении с действительным правом, потому что Apple выдаёт каждому из них транзакцию, указывающую на одну и ту же покупку.

Только два типа продуктов доступны для общего доступа, и потребляемые не входят в их число

Family Sharing охватывает ровно два вида встроенных покупок: непотребляемые и автоматически продлеваемые подписки. Потребляемые, продукты вроде монет и кредитов, никогда не разделяются, поэтому член семьи никогда не вызывает CONSUMPTION_REQUEST и не появляется в вашей отчётности о потреблении. Если ваше приложение продаёт только потребляемые покупки, возвраты по Family Sharing не ваша проблема. Если вы продаёте пожизненную разблокировку или повторяющийся план, то это ваша проблема.

Поле, которое отличает покупателя от получателя

Каждая транзакция, которую выдаёт Apple, несёт inAppOwnershipType. У него два значения. PURCHASED означает, что эта учётная запись оплатила продукт и может им управлять, в том числе отменить его или запросить возврат. FAMILY_SHARED означает, что эта учётная запись принадлежит члену семьи, имеющему доступ благодаря чужой покупке. Оба дают человеку право пользоваться вашим продуктом. Заплатил только один из них. Это поле есть в транзакции StoreKit, в чеке и в App Store Server API, так что вы можете читать его везде, где уже проверяете права.

Как возврат по Family Sharing доходит до вашего сервера

Возврат за общую покупку начинается так же, как любой возврат Apple. Покупатель, единственный, кто может, просит Apple вернуть деньги. Apple решает. Если Apple одобряет, покупка покупателя отменяется, и Apple отправляет вашему серверу App Store Server Notification REVOKE. И V1, и V2 уведомления несут его. REVOKE это ваш единственный сигнал о том, что право, стоящее за ним, и каждая разделённая с семьёй копия теперь недействительны.

Не отзывайте одну транзакцию, перечитайте всю историю

Указание Apple по поводу REVOKE прямолинейно: не относитесь к нему как к одному переключателю. Когда вы получаете такое уведомление, пройдите по всей истории транзакций клиента и восстановите его права с нуля, потому что человек может иметь более одной транзакции, дающей право на тот же или другой продукт. Отзовите только транзакцию, названную в уведомлении, и вы можете либо оставить члена семьи, которому вернули деньги, с активным доступом, либо отключить того, у кого ещё есть действительное второе право. Восстанавливайте полную картину каждый раз.

Одна деталь, которая отделяет возврат от распада семьи

Вот ловушка, которая стоит командам целого дня отладки. REVOKE может означать две совершенно разные вещи для транзакции FAMILY_SHARED, и способ их различить это поле, которое иногда попросту отсутствует. Когда покупатель получает возврат, транзакция FAMILY_SHARED приходит с revocationDate. Когда член семьи просто выходит из группы, такой же REVOKE приходит вообще без revocationDate. Инженеры Apple по коммерции прямо сказали об этом на форумах для разработчиков. В любом случае вы снимаете доступ, но только тот, что с датой, является возвратом, и только возврат также отменил платёж.

Во что на самом деле обходится вам общий возврат

Проследите за деньгами, потому что именно здесь Family Sharing незаметно меняет расчёт. Обычный возврат отменяет одну продажу. Apple возвращает цену покупателю и возвращает свою комиссию, так что со стороны магазина выходит почти в ноль. Что никогда не возвращается, это то, что вы уже потратили на предоставление продукта. С Family Sharing вы потратили это не один раз. Вы потратили это на целых шесть человек. Покупатель и до пяти членов семьи каждый нагрузил ваши вычисления, вызвал ваши API, заполнил ваше хранилище и вытянул любые выплаты, которые вы финансируете, всё это на основании одного платежа.

Теперь покупатель делает возврат. Один платёж отменяется. Доступ каждого члена семьи должен закончиться в тот же момент, потому что то, что оправдывало их обслуживание, одна оплаченная покупка, исчезло. Если ваш сервер отзывает только транзакцию PURCHASED и оставляет FAMILY_SHARED активными, до пяти человек продолжают пользоваться вашими платными функциями бесплатно, а вы продолжаете платить за их обслуживание, при этом в системе не остаётся ничего, что можно было бы выставить в счёт. Это не ошибка округления. Это пятикратная стоимость предоставления той продажи, которую вы только что вернули.

Подписки делают утечку повторяющейся

Для непотребляемой покупки неотозванный член семьи это разовая потеря, которая длится, пока вы не заметите. Для автоматически продлеваемой подписки всё хуже, потому что право уже было повторяющимся. Возврат по заказу подписки должен прекратить общий доступ для всей группы, но оставленный активным член семьи сохраняет платный уровень в каждом периоде оплаты, в котором вы не закрываете ему доступ. Исправление то же самое, восстанавливать права из полной истории при каждом REVOKE, но цена пропуска этого накапливается.

Как сделать правильно и проверить это до того, как это сделает настоящий возврат

Здесь нет ничего экзотического для создания. Вся задача в том, чтобы привязывать доступ к праву, а не к покупателю, и перестраивать этот доступ при каждом REVOKE.

• Храните доступ, привязанный к транзакции и её inAppOwnershipType, а не к одной учётной записи покупателя, чтобы транзакция FAMILY_SHARED давала доступ сама по себе и могла быть отозвана сама по себе.
• При любом уведомлении REVOKE перечитывайте всю историю транзакций клиента и пересчитывайте права, а не выключайте одну названную транзакцию.
• Относитесь к транзакции FAMILY_SHARED с revocationDate как к возврату и прекращайте доступ этого члена семьи. Относитесь к транзакции без revocationDate как к уходу из семьи и тоже прекращайте его.
• Не спешите вводить в строй только что совершённую общую покупку. Apple удерживает её около одного часа, чтобы покупатель мог отказаться, поэтому учитывайте транзакцию, которую Apple действительно выдаёт, а не предоставляйте доступ по нажатию на покупку.
• Отрепетируйте это. Инструмент Testing Family Sharing от Apple позволяет смоделировать общую транзакцию, а возврат в песочнице вызывает тот же REVOKE, который получит ваш продакшен-сервер.

Сделайте это, и возврат по Family Sharing станет незначительным событием. Покупатель получает свои деньги, вся группа теряет доступ в тот же миг, а вы перестаёте платить за обслуживание людей, которые вам никогда не платили.