Безпека webhook
Перевірка початкового тіла, часу й ротації ключів.
Використовуйте HTTPS та обмежте початкове тіло запиту 256 КіБ. Перевіряйте всі підписані поля й HMAC порівнянням зі сталим часом, відхиляйте час поза ±300 секундами та усувайте дублікати ID подій. Зберігайте старі нескомпрометовані секрети за ID ключа, доки можлива повторна доставка старих подій. Повний приклад перевірки.
Використовуйте повну перевірку підпису і перевірку замовлення. Перевіряйте точні початкові байти до обробки JSON, підписані тип та ідентичність події; виключайте повтори і події, і виконання замовлення. Сам підпис не доводить зв’язку з потрібним замовленням.