Webhooks : Mise en œuvre et résilience
Les callbacks des fournisseurs entrants sont authentifiés par HMAC sur le corps brut de la requête et une fenêtre temporelle, avec rotation des clés, rejet du trafic non signé, et sans analyse JSON avant la vérification.