Best Practices

Überprüfen Sie immer die Signaturen

Ohne Überprüfung könnte jeder, der Ihre Endpunkt-URL entdeckt, gefälschte Ereignisse senden, um echte Aktionen in Ihrem System auszulösen. Verarbeiten Sie niemals eine Nutzlast, bevor Sie den Synup-Signature-Header bestätigt haben.

Doppelte Zustellungen behandeln

Wiederholungen und erneute Auslösungen bedeuten, dass Ihr Endpunkt dasselbe Ereignis mehr als einmal empfangen kann. Speichern Sie die id des Umschlags und überspringen Sie bereits verarbeitete Ereignisse, statt anzunehmen, dass jede Zustellung eindeutig ist.

Schnell antworten, asynchron verarbeiten

Geben Sie einen 2xx-Status zurück, sobald Sie die Signatur bestätigt und das Ereignis eingereiht haben — bevor Sie langsame Logik wie das Senden von E-Mails oder Aufrufe anderer APIs ausführen. Eine langsame Antwort zählt als fehlgeschlagene Zustellung und löst eine Wiederholung aus, wodurch Sie dasselbe Ereignis zweimal verarbeiten könnten.

Abonnieren Sie nur, was Sie nutzen

Schränken Sie die Ereignisse Ihres Endpunkts im Tab „Ereignisse“ auf das ein, was Ihre Integration tatsächlich verarbeitet. Weniger Ereignisse bedeuten weniger Zustellungen, die Sie absichern, protokollieren und nachvollziehen müssen.

Rotieren Sie Ihren Signaturschlüssel regelmäßig

Behandeln Sie Ihr Webhook-Secret wie jede andere Zugangsdaten. Rotieren Sie es regelmäßig oder sofort, wenn Sie vermuten, dass es offengelegt wurde — das 7-tägige Überschneidungsfenster bedeutet, dass Sie das neue Secret bereitstellen können, ohne Zustellungen zu verlieren.

HTTPS ist erforderlich, und Ihr Zertifikat muss gültig sein

Zustellungen an eine URL mit ungültigem, abgelaufenem oder selbstsigniertem Zertifikat schlagen fehl, bevor Ihr Endpunkt-Code überhaupt ausgeführt wird. Verwenden Sie ein Zertifikat einer vertrauenswürdigen Stelle — die meisten Hosting-Plattformen stellen automatisch eines bereit.