Webhook-handtekening en replayvenster: idempotentie zodat 02:00 saai blijft

Een ongetekende callback is geen event. Het is onauthenticeerde HTTP die toevallig op uw payload lijkt. Teams die «eerst accepteren, later verifiëren» betalen om 02:00: een herhaalde DLR, een dubbele STOP of een tweede wallet-debit die finance niet kan terugdraaien. Prepaid maakt de fout geld-zichtbaar. Saaie gewoonten: handtekening op elk verzoek, begrensd replayvenster, idempotentiesleutels die finance naast de ledgerregel leest.

IOSOR verwacht auditeerbare B2B-integraties: getekende webhooks, roteerbare secrets, client-safe fouten zonder vreemde merken. Rond USD 1,000+ maandelijks gebruik worden correlatie-ID’s en replaybewijs commercieel reviewmateriaal.

Ongetekende callbacks zijn geen events

Verifieer de handtekening vóór u bedrijfsvelden parset. Wijs ontbrekende, verlopen of afwijkende handtekeningen af met een client-safe fout — verwerk niet «toch voor de piloot». Een staging-consumer die verificatie overslaat, traint productie om over te slaan. Messaging-catalogus live betekent niet dat uw webhook-URL een openbare stortplaats is.

Replayvensters en waarom 02:00 gebeurt

At-least-once-levering retried bij timeout, 5xx en dubbelzinnig netwerkverlies. Een late retry om 02:00 is normaal. Het venster begrenst hoe lang een getekende payload acceptabel blijft: te wijd en een aanvaller speelt een oude STOP; te smal en een legitieme retry lijkt vervalsing. Log vensterweigeringen los van handtekeningfouten.

Idempotentie die finance kan lezen

Hetzelfde event-ID moet dezelfde eindtoestand opleveren. Extraheer het platform-event-/bericht-ID — verzin geen sleutel uit tijdstempel plus body. Geef succes terug op een bekend ID zonder opnieuw te debiteren. Uitgaande sends hebben dezelfde discipline nodig — idempotentie, retries en geld. Finance moet elke prepaid-regel tegen een statusevent verklaren.

Handtekeningrotatie zonder dual-accept-chaos

Roteer secrets zonder een venster waarin oude en nieuwe handtekeningen voor altijd worden geaccepteerd. Plan overlap, knip daarna. Plak nooit een productiesecret in een ticket. Scheid sandbox- en productieconsumers. Dead-letter met replaygereedschap zodat ops een mislukte consumer opnieuw kan rijden zonder een tweede debit.

Rode vlaggen

• Handler accepteert ongetekende bodies «voorlopig»
• Geen replayvenster, of een in weken
• Statusoverschrijven zonder tijdstempelvergelijking
• CRM/e-mail-bijwerkingen vóór ACK
• Productiesecret in de chat
• Dubbele event-ID’s vorige maand zonder toezicht
• Klantfouten die ruwe upstream-codes storten

Begin met IOSOR

Open je IOSOR-console en controleer je actieve webhook-eindpunten voor inkomende afleverbevestigingen en gebeurtenisterugkoppelingen. Stel een strakke handtekeningverificatie en herhalingsvenster van vijf miguten in en koppel je handler strikt aan het platformgebeurtenis-ID. Test je eindpunt tegen herhaalde payloads in de testomgeving om te garanderen dat duplicaten een 200 OK retourneren zonder redundante bedrijfslogica te activeren.

• API-proefweek: Sleutels en webhooks bij live verkeer
• Correlatie-ID's traceren van API-verzoeken naar DLR-webhooks

IOSOR-les

Niet-gecontroleerde webhook-handlers en ontbrekende herhalingsvensters veranderen routineachtige netwerkpogingen in beveiligingsrisico's en dubbele staatsveranderingen. Het binden van de handtekeningvaliditeit op basis van tijdstempel en het afdwingen van strikte idempotentie zorgt ervoor dat geautomatiseerde afleverpogingen om 02:00 uur volledig voorspelbaar blijven.