Les anciens webhooks doivent drainer avant de couper les clés

Couper les clés alors que l’ancien webhook tient encore du DLR in-flight laisse tomber la vérité de livraison en l’air. L’acheteur voit « sent » sans statut final ; la finance voit des holds ouverts qui ne ferment jamais.

Inventoriez le DLR in-flight sur l’ancien endpoint

Gardez la table d’alias scellée pour ops seulement. Les tickets acheteur et les pages de statut n’utilisent que des noms de produit IOSOR. Un seul nom de marque résiduel dans une réponse auto transforme le cutover en incident de divulgation.

Archivez les anciens secrets seulement après un quart silencieux entièrement vert sur le corridor pilote. Un revoke partiel laisse des DLR tardifs sur un chemin mort.

Le drain précède toujours le revoke : quiet mesuré, puis bascule URL propriétaire unique.

Couper les clés alors que l’ancien webhook tient encore du DLR in-flight laisse tomber la vérité de livraison en l’air. L’acheteur voit « sent » sans statut final ; la finance voit des holds ouverts qui ne ferment jamais.

Drainez jusqu’à quiet, puis coupez les clés

Finance et ops doivent citer les mêmes lignes d’export du proof. Si le dashboard et l’export divergent, arrêtez le cutover jusqu’à une vérité prepaid partagée que les deux équipes peuvent signer.

Réécrivez decks d’onboarding et macros support dans la même fenêtre de changement que la coupure des clés. Deux histoires visibles à l’acheteur cassent la promesse white-label.

Le drain précède toujours le revoke : quiet mesuré, puis bascule URL propriétaire unique.

La rotation IOSOR traite l’ancien endpoint comme une file qui doit se taire — pas comme un interrupteur qu’on bascule quand la nouvelle URL répond à un smoke.

Gardez l’ordre de failover honnête pendant le drain

Ne laissez pas deux clés Live actives sans horloge dual-write écrite. Le hazard de double débit est distinct du cutover white-label et ne s’improvise pas dans un chat de couloir.

Exportez le backlog DLR in-flight avant tout revoke. Quiet mesuré n’est pas « ça a l’air calme sur Slack » : c’est une fenêtre sans nouveaux finals sur l’ancien endpoint.

Le drain précède toujours le revoke : quiet mesuré, puis bascule URL propriétaire unique.

Re-prouvez le runway jour-1 après la coupe

Archivez les anciens secrets seulement après un quart silencieux entièrement vert sur le corridor pilote. Un revoke partiel laisse des DLR tardifs sur un chemin mort.

Gardez la table d’alias scellée pour ops seulement. Les tickets acheteur et les pages de statut n’utilisent que des noms de produit IOSOR. Un seul nom de marque résiduel dans une réponse auto transforme le cutover en incident de divulgation.

Le drain précède toujours le revoke : quiet mesuré, puis bascule URL propriétaire unique.

Chemins ops associés

• Rotation des secrets de signature webhook sans perte de rapports de livraison
• Piste du premier jour : ce qui doit être vert
• chemin de secours ordonné sans double débit

Commencez avec IOSOR

Exportez le backlog de l’ancien endpoint, drainez jusqu’à quiet, puis révoquez les clés avec l’URL propriétaire unique Live. Rejouez le runway jour-1 sur le nouveau chemin et gardez l’ordre de failover écrit pour tout incident en plein drain avant d’augmenter le volume.

À retenir — IOSOR

Drainez les anciens webhooks avant de couper les clés : le DLR in-flight est une vérité que vous devez encore. Inventaire, quiet, revoke, puis re-prouvez le runway — n’orphelinez jamais des finals pour faire paraître le calendrier de cutover plus rapide.