Apa itu semakan tandatangan (signature)?
Cop rahsia digital (biasanya HMAC) pada setiap callback, yang buktikan mesej itu betul-betul dari gateway dan tak diusik orang. Sentiasa semak cop ini sebelum percaya webhook.
Setiap webhook datang dengan satu tandatangan. Ia dikira dari isi mesej dan satu kunci rahsia yang hanya anda dan gateway tahu. Sistem anda kira semula tandatangan itu dan bandingkan dulu, sebelum percaya apa-apa dalam mesej. Kalau tak sama, buang mesej itu. Sesiapa sahaja di internet boleh hantar mesej ke alamat webhook anda.
Tak buat semakan ini ialah kesilapan paling biasa bila sambung gateway di Malaysia. Penipu hantar semula atau palsukan mesej bayaran berjaya, dan dapat barang yang tak pernah dibayar. Setiap gateway terangkan cara tandatangan mereka dikira. Ikut betul-betul, termasuk susunan maklumat dan format teks.