Проєктування API · Middle · Запитання 39 з 75
Як отримувач вебхука має перевірити, що запит справді від провайдера?
- 1Довіряти будь-якому запиту на секретний URL
- ✓Правильна відповідь: Перевірити HMAC-підпис над сирим тілом і часовою міткою за спільним секретом і відхиляти старі мітки
- 3Перевірити заголовок
User-Agent
Пояснення
Рахуйте підпис над сирими байтами (до розбору JSON) і порівнюйте за сталий час. Standard Webhooks визначає спільну схему.