支付宝 API 商家转账升级通知解读：务必尽快配置服务器 IP 白名单

2026 年 9 月 20 日，支付宝开放平台发布【重要通知】《支付宝 API 商家转账产品升级通知》，针对 API 接口类转账产品进行安全能力升级，所有正在对接以及已经完成对接商家转账 API 的服务商、商家，都需要重点关注并完成配置操作。

一、本次升级核心目的

本次调整的核心目标是保障商家资金安全。
商家转账属于资金敏感类接口，一旦应用私钥、证书发生泄露，攻击者有可能伪造转账请求，造成商家资金损失。
IP 白名单机制就是增加一层网络来源校验：支付宝网关会校验转账 API 请求的来源 IP，只有在白名单内的服务器出口 IP，才允许调用转账接口；不在白名单中的 IP 发出的转账请求会直接被拦截，就算私钥泄露，黑客在其他服务器发起的转账调用也无法执行，大幅降低资金被盗风险支付宝文档...。

二、哪些商家 / 服务商需要处理？

✅ 需要操作对象：正在对接商家转账 API、已经完成商家转账 API 对接的服务商、企业商家。

只要你的业务系统通过 API 接口调用支付宝商家转账（企业支付宝转账到支付宝账户、转账到银行卡等转账接口），就属于本次升级覆盖范围。

三、操作步骤指引

1. 打开支付宝开放平台 IP 白名单文档页面：https://opendocs.alipay.com/common/02kg65，按照页面指引进入控制台配置。
   
2. 在开放平台控制台开发设置内，填写业务服务器出口公网 IP（注意不是内网 IP，是服务器对外访问支付宝网关的公网 IP），支持 IPv4、IPv6，多个 IP 用英文逗号分隔。
3. 保存配置，配置完成后建议立刻做接口联调测试，验证转账接口调用是否正常。

⚠️ 注意：如果业务有多台服务器、多机房、多出口 IP，所有会发起转账 API 请求的服务器出口 IP 都需要添加进白名单，漏填会导致部分服务器调用转账接口失败。

四、遇到问题该如何咨询？

通知内提供了两种官方支持渠道：

1. 在线技术支持：登录支付宝开放平台官网 open.alipay.com，点击页面右侧蚂蚁图标，接入人工客服；
   人工服务时段：工作日 9:00-22:00，非工作日 9:00-18:00。
2. 商家客服热线：400-758-5858。

五、商家风险提醒

1. 及时完成配置，避免业务中断：这是资金接口的强制安全升级，如逾期不配置，后续转账 API 调用会被拦截，业务自动打款、代付等功能会失效，影响业务流程。
2. 区分出口 IP：很多商家容易混淆内网 IP 与服务器公网出口 IP，配置前先确认服务器真实对外出口 IP，配置完成后务必测试。
3. 安全联动：IP 白名单是防护手段之一，仍需要妥善保管应用私钥、证书，定期轮换密钥，不要把密钥放置在前端、客户端。

六、总结

本次支付宝商家转账 API 升级，本质是资金接口的安全加固，通过 IP 来源限制，给企业代付、自动转账业务增加一道安全防护盾。
所有接入商家转账 API 的企业与服务商，需要尽快登录支付宝开放平台完成服务器 IP 白名单配置，配置完成后做好接口自测，防止线上转账业务异常。