Reinvio di webhook
Il reinvio di webhook trasmette nuovamente una notifica. Il recupero intenzionale e gli attacchi di replay richiedono verifiche diverse.
Il reinvio di webhook indica la nuova trasmissione di una notifica webhook già inviata. Può avvenire intenzionalmente per recuperare un’elaborazione fallita durante un’interruzione. Il termine è usato anche per attacchi in cui qualcuno intercetta un messaggio valido e lo invia nuovamente.
Delimitare il recupero
In un portale fittizio, dopo un guasto rimane incerto se una notifica d’ordine sia stata elaborata nell’ERP. Prima di reinviarla, il team responsabile verifica lo stato dell’elaborazione. Stabilisce quale notifica si possa reinviare e come impedire la creazione di un ordine duplicato. Reinviare tutte le notifiche conservate senza verificarle coinvolgerebbe anche operazioni concluse.
Valutare separatamente autenticità e ripetizione
Stripe usa timestamp firmati contro gli attacchi di replay e descrive separatamente la gestione degli eventi duplicati. Una firma valida, da sola, non dimostra che una notifica sia ancora da elaborare. Concordi quindi sia la verifica dei messaggi in entrata sia la gestione delle operazioni già elaborate.
Fonti
Termini correlati
- Identificatore di eventoUn identificatore di evento distingue un evento nell’ambito concordato. Una consegna ripetuta va distinta da un nuovo evento.
- Chiave di idempotenzaUna chiave di idempotenza identifica i tentativi ripetuti della medesima richiesta. Ambito, conservazione e regole dell’API ne determinano l’effetto.
- Transactional inboxUna transactional inbox usa registrazioni durature dei messaggi per proteggere l’elaborazione locale dalle consegne duplicate.
- Conferma dei messaggiLa conferma comunica al broker che una consegna è stata ricevuta o elaborata secondo la regola concordata.
- Jitter nei retryIl jitter varia casualmente le attese tra i retry per distribuire i nuovi tentativi e ridurre le richieste simultanee di più client.
- Tenant di testUn ambito cliente logicamente delimitato di un’applicazione multitenant, configurato per verifiche.
Articoli sul tema
API & integrazione con ASES
ERP, CRM e negozio online collegati in modo pulito