Sécurisation des webhooks inbound multi-tenants via la vérification de signature

Sécurisation des webhooks inbound multi-tenants via la vérification de signature.

Aperçu architectural de la vérification inbound

Lors de l'exploitation d'une plateforme CPaaS en marque blanche, la protection de vos endpoints contre les requêtes HTTP POST forgées est essentielle. Le routage multi-tenant introduit des cas complexes où un payload mobile inbound pourrait cibler le mauvais sous-compte. Pour éliminer les injections non autorisées, notre passerelle signe chaque envoi de webhook à l'aide d'une signature HMAC-SHA256 calculée sur le corps brut de la requête combiné à un secret unique à ce tenant.

Inspection des en-têtes cryptographiques et gestion des secrets

Chaque livraison inbound contient un en-tête d'autorisation spécialisé renfermant le condensé cryptographique et un horodatage temporel. Votre pipeline d'ingestion doit extraire ce jeton et confirmer que l'âge de la requête se situe dans une fenêtre de tolérance étroite, généralement de cinq minutes, pour empêcher les attaques par rejeu. Les secrets sont provisionnés dynamiquement lorsque les tenants effectuent un provisionnement JIT via notre API de plateforme. Comme nous maintenons un modèle prépayé strict, un solde actif est obligatoire ; les comptes passant sous le seuil de 20 USD voient leurs livraisons suspendues.

Gestion de l'analyse des payloads et normalisation E.164

Une fois la validation de signature réussie, votre worker analyse le payload JSON pour extraire les numéros d'expéditeur, les jetons de routage de destination et le texte du message. Tous les numéros subissent une normalisation E.164 stricte avant d'entrer dans la file d'attente de traitement. Si un tenant gère des campagnes à haut volume qui s'approchent d'une vélocité constante de 1 000 USD/mois en consommation, notre système initie un examen doux près de 1 000 USD/mois pour vérifier la légitimité du trafic et optimiser les paramètres de routage. Durant cette étape, les tableaux de bord suivent la latence et les taux de succès HTTP 200.

Atténuation des attaques par rejeu et de la dérive d'horloge

La latence réseau et les divergences mineures d'horloge du serveur peuvent causer des frictions de vérification si elles ne sont pas gérées correctement. L'implémentation d'un cache de nonce glissant garantit que des signatures identiques ne peuvent pas être retransmises malicieusement. Si votre endpoint d'ingestion renvoie un code non-2xx dû à un verrouillage de base de données, la plateforme met en file d'attente une nouvelle tentative sécurisée. Assurer que vos workers gèrent ces tentatives de manière idempotente est crucial pour éviter les doublons dans les registres DLR.

Dépannage des signatures échouées et audits de grand livre

En cas d'échec de validation, inspectez les en-têtes HTTP bruts et confirmez que les proxies intermédiaires ne modifient pas les espaces dans le corps de la requête. Les administrateurs peuvent vérifier les tentatives échouées dans les journaux d'audit. Pour une analyse approfondie, consultez : retries du webhook inbound · Second numéro inbound : transfert de boîte de réception sans fils mélangés · Rétention des journaux d'audit : ce que les acheteurs peuvent exporter et pro….

Démarrer avec IOSOR

POST-ez un événement entrant signé avec le secret du locataire B vers le bout du locataire A. Le contrôle doit le refuser. Faites tourner un secret de locataire et prouvez que seul son webhook échoue. Exportez l’échec de signature contre l’id locataire. C’est un HMAC par locataire, pas l’isolation d’une liste STOP ni un débit de fenêtre de replay.

À retenir — IOSOR

Une URL de webhook n’est pas un secret.

Faites : vérifiez le HMAC contre le locataire qui possède le DID.