Alte Webhooks müssen drainen, bevor Sie Schlüssel schneiden

Schlüssel schneiden, während der alte Webhook noch In-Flight-DLR hält, lässt Delivery-Wahrheit in der Luft fallen. Der Käufer sieht „sent“ ohne Final-Status; Finance sieht offene Holds, die nie schließen; Ops verliert die Spur, die Failover-Ordnung beweist. Zuerst drainen. Dann schneiden.

IOSOR-Rotation behandelt den alten Endpoint als Queue, die ruhig werden muss — nicht als Schalter, den man flippt, wenn die neue URL einen Smoke beantwortet. In-Flight-Reports gehören zum Message-Lifecycle; Waisen erfinden eine Woche Ghost-Zeilen.

In-Flight-DLR am alten Endpoint inventarisieren

Exportieren Sie offene Deliveries und pending Final-Status an der alten Webhook-URL. Taggen Sie jede Zeile mit Alter und Message-ID. Dieses Inventar ist der Drain-Backlog — keine vage Hoffnung, dass „Retries irgendwie fertig werden“.

Teilen Sie den Export mit Finance, bevor jemand Key-Revoke plant. Ist der Backlog größer als eine ruhige Schicht, Drain-Fenster schriftlich verlängern statt in einen Sturm später DLR zu schneiden.

Bis Quiet drainen, dann Schlüssel schneiden

Halten Sie den alten Endpoint nur für Completion-Events Live, bis Inventar null oder vereinbarter Residual-Floor ist. Widerrufen Sie Messaging- oder Webhook-Secrets nicht, solange die Drain-Liste frische Arrivals zeigt. Quiet heißt keine neuen Finals in einem gemessenen Fenster — nicht „Slack wirkt ruhig“.

Wenn Quiet bewiesen ist, alte Schlüssel im selben Change-Fenster wie der Sole-Owner-URL-Flip widerrufen. Teil-Revoke mit half-live Secret ist, wie spätes DLR auf einem toten Pfad ankommt.

Failover-Ordnung während Drain ehrlich halten

Während des Drains keinen zweiten Live-Pfad erfinden, der ordered Backup umgeht. Failover bleibt primary-then-backup; Drain ist keine Fan-out-Erlaubnis. Dokumentieren Sie, welcher Pfad In-Flight-Zeilen besitzt, damit Incident-Woche nicht streitet, welches Rohr „hätte“ antworten sollen.

Fällt Primary mitten im Drain, ordered Backup folgen und neu inventarisieren — Schlüssel nicht als Panik-„Vereinfachung“ schneiden.

Day-1-Runway nach dem Cut erneut beweisen

Nach Key-Cut Day-1-Checks fahren, die grün sein müssen: Heartbeat, Send-Proof, Webhook-Finals am neuen Endpoint, Wallet-Hold-Close. Erst dann Pilotvolumen wieder öffnen. Gedrainter alter Pfad plus roter Runway ist immer noch geblockter Launch.

Exportieren Sie die erste ruhige Stunde auf der neuen URL, damit Ops dem Käufer zeigt, dass DLR nicht mit dem alten Secret verschwand.

Verwandte Ops-Pfade

• Rotieren von Webhook-Signaturgeheimnissen ohne Verlust von Zustellberichten
• Tag-1-Runway: Was grün sein muss
• geordneter Backup-Pfad ohne Doppelabbuchung

Starten Sie mit IOSOR

Exportieren Sie den Alt-Endpoint-Backlog, drainen Sie bis Quiet, dann Keys widerrufen mit Live Sole-Owner-URL. Day-1-Runway auf dem neuen Pfad erneut fahren und Failover-Ordnung für jeden Mid-Drain-Incident schriftlich halten, bevor Volumen steigt.

IOSOR Fazit

Drainen Sie alte Webhooks, bevor Sie Schlüssel schneiden: In-Flight-DLR ist Wahrheit, die Sie noch schulden. Inventar, Quiet, Revoke, dann Runway erneut — niemals Finals verwaisen, damit der Cutover-Kalender schneller aussieht.