Webhooks: 実装とレジリエンス
インバウンドプロバイダのコールバックは、生のリクエストボディとタイムスタンプウィンドウに対するHMACによって認証され、キーのローテーション、署名されていないトラフィックの拒否、検証前のJSONパースなしが行われます。
Signed outbound webhooks with HMAC over the raw body, a stable delivery identity, bounded retries into a dead-letter, clock-skew tolerant timestamps, and no secret material in callback URLs.