Подпись вебхуков
Не считайте входящий JSON достоверным только потому, что он похож на событие провайдера.
Проверено Изменено
Плохо
Получили {paid:true} → отметили заказ оплаченным.
Хорошо
Проверили подпись исходных байтов и срок.
Сохранили event_id. Затем обработали.
Почему это важно
Публичный адрес вебхука доступен и посторонним отправителям.
Когда применять
Алгоритм подписи и допустимое время задаёт провайдер; обработка должна переживать дубликаты.
Кто что делает
Человек
Определяет доверенных отправителей и правила обработки событий.
AI-агент
Реализует интеграцию по документации установленной версии и проверяет отказ, тайм-аут и повтор.
Контроль результата:
- Отправьте неверную подпись, старое и повторное событие.
Как проверить у себя
- Отправьте неверную подпись, старое и повторное событие.
Первоисточники
История изменений на GitHubДата проверки отражает содержательную сверку. Синхронизация сайта не обновляет её автоматически.