通过签名验证保护多租户入站 Webhook

通过签名验证保护多租户入站 Webhook。

入站验证的架构概览

在运营白标 CPaaS 平台时，保护端点免受伪造的 HTTP POST 请求攻击至关重要。多租户路由引入了复杂的边缘情况，其中传入的短信移动发起负载可能会定位到错误的子账户。为了消除未授权的注入，我们的网关使用基于原始请求主体计算出的 HMAC-SHA256 签名以及该租户独有的秘密盐值对每个 Webhook 分发进行签名。您的平台接入工作线程必须在本地计算此密码散列，并在处理任何业务逻辑或解析 E.164 主体字符串之前将其与传入的 HTTP 标头进行比较。此过程确保只有拥有有效密钥的合法发送者才能成功传递消息，从而维护数据完整性和账户安全。

密码标头检查与密钥管理

每个入站交付都包含一个专用的 `X-Signature-HMAC-SHA256` 标头，其中包含密码摘要和时间戳。您的接入管道需要提取此令牌并确认请求年龄在严格的容差窗口（通常为五分钟，可配置）之内，以防止重放攻击。当租户通过我们的平台 API 完成 JIT 配置时，密钥会动态配置，并存储在安全的密钥管理系统中。由于我们维持严格的预付费模型，因此必须保持活跃余额；降至 20 美元预付费底线以下的账户会触发自动交付暂停，直到通过自动信用卡通道或账单充值补足资金。账户余额低于此阈值时，所有入站 Webhook 交付将暂时停止，直到余额恢复。此机制强制执行财务责任，并防止服务滥用。

处理负载解析与 E.164 标准化

一旦签名验证成功，您的工作线程将解析 JSON 负载以提取发送者号码 (`from`)、目标路由令牌 (`to_tenant_id`) 和消息文本 (`message`)。所有号码在进入处理队列之前都必须经过严格的 E.164 标准化，以确保一致性并避免路由错误。如果租户处理的高容量活动接近每月 1,000 美元的稳定消费速度，我们的系统将在接近每月 1,000 美元时启动软审核，以验证流量合法性并优化路由参数。在此阶段，遥测仪表板会实时跟踪 Webhook 延迟、HTTP 200 确认率、签名失败频率以及 DLR（Delivery Receipt）的及时性。控制台提供详细的流量分析，帮助识别潜在的异常模式。

缓解重放攻击与时钟漂移

如果管理不当，网络延迟和微小的服务器时钟差异可能会导致验证摩擦。实现滑动随机数缓存可确保恶意重新传输相同的 Webhook 签名。平台会为每个唯一的请求生成一个时间戳，并在验证时检查该时间戳是否在允许的窗口内。如果您的接入端点由于瞬态数据库锁定而返回非 2xx 状态码，平台会排队进行安全重试。确保您的工作线程幂等地处理这些重试，对于防止子账户计费账单中出现重复的 DLR 生成或双重计费场景至关重要，且无需依赖上游运营商的变通方案。重试机制会考虑 DLR 的状态，避免重复发送。

故障排查失败签名与账单审计

当 Webhook 签名验证失败时，隔离根本原因需要检查原始 HTTP 标头，并确认中间反向代理没有剥离或修改请求主体空白。系统管理员可以在平台审计日志中交叉引用失败的交付尝试。这些日志详细记录了每次签名验证尝试的结果，包括失败的原因。有关深入的合规审计和财务对账，请参考以下指南：入站 webhook 的重试与幂等、第二个入站号码：收件箱交接与无混合会话，以及审计日志保留：买家可导出的内容与可验证性以导出详细的事件历史记录。控制台中的账单模块提供了详细的费用明细，可用于审计。

从 IOSOR 开始构建

用租户 B 的密钥向租户 A 的端点 POST 一条已签入站事件。校验必须拒。轮换一个租户密钥，证明只有该租户的 webhook 失败。导出验签失败对照租户 id。这是按租户 HMAC，不是 STOP 名单隔离，也不是重放窗口扣款。配置静默时间（quiet hours）可避免在非工作时间触发不必要的通知。OTP（One-Time Password）发送应始终通过签名验证的 Webhook 进行，以确保其安全性。

IOSOR 要点

一条 webhook 地址不等于一把密钥。

要做：按拥有该 DID 的租户校验 HMAC。不要：子账户共用一把签名钥，或把未签名 MO 当内部事件收下。确保您的 DLR 回调也经过签名验证，以防止欺诈性 DLR 更新。利用控制台监控所有租户的签名验证状态和流量模式，及时发现异常。预付费钱包的余额是关键，低于阈值将暂停服务。