Webhook-signatur og replayvindue: idempotens så 02:00 forbliver kedeligt

En usigneret callback er ikke en hændelse. Det er uautentificeret HTTP der tilfældigvis ligner jeres payload. Hold der «accepterer først, verificerer senere» betaler kl. 02:00: en gengivet DLR, en duplikeret STOP eller en anden pung-debit finance ikke kan rulle tilbage. Prepaid gør fejlen penge-synlig. Kedelige vaner: signatur på hver anmodning, begrænset replayvindue, idempotensnøgler finance læser ved siden af ledger-linjen.

IOSOR forventer reviderbare B2B-integrationer: signerede webhooks, roterbare hemmeligheder, client-safe fejl uden fremmede mærker. Nær USD 1,000+ månedligt brug bliver korrelations-ID’er og replaybevis kommercielt reviewmateriale. Par med webhooks og nøgler ved lancering og webhooks der overlever lanceringen.

Usignerede callbacks er ikke hændelser

Verificér signaturen før I parser forretningsfelter. Afvis manglende, udløbne eller skæve signaturer med en client-safe fejl — behandl ikke «alligevel for piloten». En staging-forbruger der springer verifikation over, træner produktion til at springe over. Beskedkatalog live betyder ikke at jeres webhook-URL er en offentlig losseplads. Kan I ikke bevise hvem der signerede kroppen, har I ingen hændelse; I har en forfalsket anmodning.

Replayvinduer og hvorfor 02:00 sker

Levering mindst-én-gang retried ved timeout, 5xx og tvetydigt nettab. Et sent retry kl. 02:00 er normalt. Vinduet begrænser hvor længe en signeret payload forbliver acceptabel: for bredt og en angriber spiller en gammel STOP; for smalt og et legitimt retry ligner forfalskning. Log vinduesafvisninger adskilt fra signaturfejl. Se gensendelse af indgående webhook. Svar hurtigt, persistér først, behandl async — en handler der laver CRM før ACK fabrikker dubletter.

Idempotens finance kan læse

Samme hændelses-ID skal give samme sluttilstand. Udtræk platformens hændelses-/besked-ID — opfind ikke en nøgle af tidsstempel plus krop. Returnér succes på et kendt ID uden at debitere igen. Udgående sends har brug for samme disciplin — idempotens, gensendelse og penge. Finance skal forklare hver prepaid-linje mod en statushændelse. Hvis timeout forårsager en klient-retrystorm, viser ledgerskaden først. Katalog in setup er ingen undskyldning for at springe idempotens over «til Live».

Signaturrotation uden dual-accept-kaos

Rotér hemmeligheder uden et vindue hvor gamle og nye signaturer accepteres for evigt. Planlæg overlap, klip derefter. Klistre aldrig en produktionshemmelighed i en sag. Adskil sandbox- og produktionsforbrugere. Dead-letter med replayværktøj så ops kan køre en mislykket forbruger om uden at opfinde en anden debit. Bær korrelations-ID’er fra send til ledgerlinje så 02:00 er et runbook, ikke arkæologi.

Røde flag

• Handler accepterer usignerede kroppe «foreløbig»
• Intet replayvindue, eller ét målt i uger
• Statusoverskrivning uden tidsstempel-sammenligning
• CRM/e-mail-bivirkninger før ACK
• Produktionshemmelighed i chatten
• Duplikerede hændelses-ID’er sidste måned uden tilsyn
• Kundefejl der spilder rå upstream-koder

Start med IOSOR

Åbn din IOSOR-konsol, og tjek dine aktive indstillinger for webhook-slutpunkter til indgående leveringskvitteringer og hændelsestilbagekald. Sæt et stramt tidsvindue på fem minutter til signaturverificering mod genafspilning, og lås din handler fast til platformens hændelses-id. Test dit slutpunkt mod genafspillede payloads i testmiljøet for at sikre, at dubletter returnerer en 200 OK uden at udløse redundant forretningslogik.

IOSOR-pointe

Uverificerede webhook-handlere og manglende tidsvinduer forvandler rutinemæssige netværksforsøg til sikkerhedshuller og dobbelte tilstandsændringer.