Webhook'lar ödeme bildirimlerini gerçek zamanlı olarak doğrudan sunucunuza iletir. Ancak dikkatsiz uygulanırsa güvenlik açığına dönüşebilir. İşte beş temel uygulama.
1. İmzayı her zaman doğrulayın
Her InzoPay webhook'u, HMAC-SHA256 imzası taşıyan bir InzoPay-Signature başlığı içerir. Olayı işlemeden önce uç noktanızın imza sırrıyla her zaman doğrulayın. İmza doğrulama rehberimize bakın.
2. Zaman damgasını kontrol edin
Webhook zaman damgasının (t=) şu andan en fazla 5 dakika farklı olduğunu doğrulayın. Bu, saldırganın yakaladığı bir webhook'u yeniden göndermesi gibi tekrar saldırılarını önler.
3. 200'ü hızlıca döndürün
Webhook'ları asenkron işleyin. Hemen 200 yanıtı döndürün, olayı sonra arka planda ele alın. Sunucunuz 10 saniyeden uzun sürerse InzoPay teslimatı başarısız sayar.
4. Yinelenen olayları yönetin
Yeniden denemeler nedeniyle uç noktanız aynı olayı birden fazla kez alabilir. İdempotency sağlamak için olay kimliğini (event.id) kullanın — bir olayı zaten işlediyseniz tekrar işlemeyin.
5. Yalnızca HTTPS kullanın
InzoPay webhook'ları yalnızca HTTPS uç noktalarına iletir. Üretimde webhook uç noktaları için asla HTTP kullanmayın.