সিগনেচার যাচাইকরণের মাধ্যমে মাল্টি-টেন্যান্ট ইনবাউন্ড ওয়েবহুক সুরক্ষিত করা

সিগনেচার যাচাইকরণের মাধ্যমে মাল্টি-টেন্যান্ট ইনবাউন্ড ওয়েবহুক সুরক্ষিত করা.

ইনবাউন্ড যাচাইকরণের আর্কিটেকচারাল ওভারভিউ

একটি হোয়াইট-লেবেল সিপিএএস প্ল্যাটফর্ম পরিচালনা করার সময়, জাল এইচটিটিপি পোস্ট অনুরোধ থেকে আপনার এন্ডপয়েন্টগুলিকে রক্ষা করা অত্যন্ত গুরুত্বপূর্ণ। মাল্টি-টেন্যান্ট রাউটিং জটিল এজ কেস তৈরি করে যেখানে একটি ইনকামিং এসএমএস মোবাইল-অরিজিনেটেড পেলোড ভুল সাব-অ্যাকাউন্টে টার্গেট করতে পারে। অননুমোদিত ইনজেকশন দূর করতে, আমাদের গেটওয়ে কাঁচা অনুরোধ শরীরের ওপর গণনা করা একটি এইচএমএসি-এসএইচএ২৫৬ সিগনেচার ব্যবহার করে প্রতিটি ওয়েবহুক প্রেরণ স্বাক্ষর করে যা সেই টেন্যান্টের জন্য অনন্য একটি গোপন সল্টের সাথে মিলিত হয়। যেকোনো ব্যবসায়িক যুক্তি প্রক্রিয়া করার বা ই.১৬৪ বডি স্ট্রিং পার্স করার আগে আপনার সিস্টেমের এই ক্রিপ্টোগ্রাফিক হ্যাশটি স্থানীয়ভাবে যাচাই করা উচিত।

ক্রিপ্টোগ্রাফিক হেডার ইন্সপেকশন এবং সিক্রেট ম্যানেজমেন্ট

প্রতিটি ইনবাউন্ড ডেলিভারিতে ক্রিপ্টোগ্রাফিক ডাইজেস্ট এবং একটি টেম্পোরাল টাইমস্ট্যাম্প সম্বলিত একটি বিশেষ অথরাইজেশন হেডার থাকে। রিপ্লে আক্রমণ প্রতিরোধ করতে আপনার ইনজেশন পাইপলাইনকে এই টোকেনটি বের করতে হবে এবং নিশ্চিত করতে হবে যে অনুরোধের বয়স একটি টাইট টলারেন্স উইন্ডোর মধ্যে রয়েছে, সাধারণত পাঁচ মিনিট। টেন্যান্টরা আমাদের প্ল্যাটফর্ম এপিআই-এর মাধ্যমে জেআইটি প্রোভিশনিং সম্পূর্ণ করার পরে সিক্রেটগুলি গতিশীলভাবে প্রস্তুত করা হয়। যেহেতু আমরা একটি কঠোর প্রিপেইড মডেল বজায় রাখি, তাই একটি সক্রিয় ব্যালেন্স বাধ্যতামূলক; স্বয়ংক্রিয় ক্রেডিট কার্ড রেল বা লেজার টপ-আপের মাধ্যমে তহবিল না থাকলে ইউএসডি ২০ ফ্লোরের নিচে থাকা অ্যাকাউন্টগুলির ডেলিভারি অবিলম্বে বন্ধ হয়ে যাবে।

পেলোড পার্সিং এবং ই.১৬৪ নরমালাইজেশন হ্যান্ডলিং

সিগনেচার যাচাইকরণ সফল হওয়ার পরে, আপনার ওয়ার্কার প্রেরকের নম্বর, গন্তব্য রাউটিং টোকেন এবং বার্তার টেক্সট বের করতে জেসন পেলোড পার্স করে। প্রক্রিয়াকরণ সারিতে প্রবেশের আগে সমস্ত নম্বর কঠোর ই.১৬৪ নরমালাইজেশনের মধ্য দিয়ে যায়। যদি কোনো টেন্যান্ট উচ্চ-ভলিউম ক্যাম্পেইন পরিচালনা করে যা খরচ প্রতি মাসে ইউএসডি ১,০০০-এর কাছাকাছি একটি স্থির বেগে পৌঁছায়, তবে আমাদের সিস্টেম ট্রাফিকের বৈধতা যাচাই করতে এবং রাউটিং প্যারামিটার অপ্টিমাইজ করতে প্রতি মাসে প্রায় ইউএসডি ১,০০০-এর কাছাকাছি একটি সফট রিভিউ শুরু করে। এই পর্যায়ে, টেলিমেট্রি ড্যাশবোর্ডগুলি রিয়েল-টাইমে ওয়েবহুক লেটেন্সি এবং এইচটিটিপি ২০০ সাফল্যের হার ট্র্যাক করে।

রিপ্লে আক্রমণ এবং ক্লক ড্রিফ্ট প্রশমিত করা

নেটওয়ার্ক লেটেন্সি এবং ছোটখাটো সার্ভার ক্লক অসঙ্গতি সঠিকভাবে পরিচালিত না হলে যাচাইকরণে ঘর্ষণ সৃষ্টি করতে পারে। একটি স্লাইডিং ননস ক্যাশ প্রয়োগ করা নিশ্চিত করে যে অভিন্ন ওয়েবহুক সিগনেচারগুলি দূষণমূলকভাবে পুনরায় প্রেরণ করা যাবে না। যদি আপনার ইনজেশন এন্ডপয়েন্ট কোনো ট্রানজিয়েন্ট ডাটাবেস লকের কারণে নন-টু-এক্সএক্স স্ট্যাটাস কোড ফেরত দেয়, তবে প্ল্যাটফর্ম একটি নিরাপদ রিট্রাই কিউ করে। আপনার ওয়ার্কাররা যাতে এই রিট্রাইগুলি আইডেমপোটেন্টলি হ্যান্ডেল করে তা নিশ্চিত করা অত্যন্ত জরুরি, যাতে ডুপ্লিকেট ডিএলআর প্রসেসিং এবং লেজারে ডাবল-বিলিং এড়ানো যায়।

ব্যর্থ সিগনেচার এবং লেজার অডিট ট্রাবলশুটিং

যদি সিগনেচার যাচাইকরণ ব্যর্থ হয়, তবে কাঁচা এইচটিটিপি হেডারগুলি পরীক্ষা করুন এবং নিশ্চিত করুন যে ইন্টারমিডিয়েট প্রক্সিগুলি অনুরোধের বডিতে হোয়াইটস্পেস পরিবর্তন করছে না। অ্যাডমিনিস্ট্রেটররা প্ল্যাটফর্ম অডিট লগে ব্যর্থ ডেলিভারি প্রচেষ্টার ক্রস-রেফারেন্স করতে পারেন। গভীর আর্থিক এবং সিস্টেম বিশ্লেষণের জন্য, এই রিসোর্সগুলি দেখুন: ইনবাউন্ড ওয়েবহুক পুনঃচেষ্টা · দ্বিতীয় ইনবাউন্ড নম্বর: মিশ্র থ্রেড ছাড়াই ইনবক্স হ্যান্ডওভার · অডিট লগ সংরক্ষণ: ক্রেতারা কী রপ্তানি এবং প্রমাণ করতে পারেন.

IOSOR দিয়ে শুরু করুন

ভাড়াটে B-এর রহস্যে স্বাক্ষরিত ইনবাউন্ড ঘটনা ভাড়াটে A-এর প্রান্তে POST করুন। পরীক্ষা প্রত্যাখ্যান করবে। এক ভাড়াটে রহস্য ঘোরান এবং প্রমাণ করুন কেবল তার webhook পড়ে। স্বাক্ষর ব্যর্থ বনাম ভাড়াটে id রপ্তানি করুন। এটি প্রতি-ভাড়াটে HMAC, STOP তালিকা বিচ্ছিন্নতা নয় এবং পুনঃপ্রেরণ জানালা কাট নয়।

IOSOR সারাংশ

একটি webhook ঠিকানা একটি রহস্য নয়।

করুন: DID-এর মালিক ভাড়াটের বিরুদ্ধে HMAC যাচাই করুন। করবেন না: উপ-হিসাবে এক স্বাক্ষর চাবি ভাগাভাগি বা অস্বাক্ষরিত MO কে অভ্যন্তরীন ধরা।