CẢNH BÁO THỰC TẾ Webhook biến hệ thống bên thứ ba thành một nguồn input trực tiếp vào ứng dụng. Nếu endpoint chỉ kiểm tra JSON hợp lệ rồi xử lý, kẻ xấu có thể giả sự kiện, gửi lại sự kiện cũ, gây tải đột biến hoặc khai thác giả định sai về dữ liệu đối tác. Ngay cả nhà cung cấp hợp lệ cũng có thể gửi sự kiện trùng, chậm hoặc không theo thứ tự. Một endpoint webhook đáng tin cậy cần: 1. Xác minh chữ ký bằng secret/key của nhà cung cấp trên raw request body, trước khi parse/biến đổi dữ liệu theo cách làm thay đổi nội dung được ký. 2. Kiểm tra timestamp/tolerance và event ID để chống replay; lưu trạng thái idempotency để xử lý sự kiện lặp không tạo giao dịch hay bản ghi trùng. 3. Chỉ chấp nhận schema, event type và trường dữ liệu mà integration thật sự cần; unknown field không được tự động cấp quyền hoặc đổi trạng thái nhạy cảm. 4. Trả phản hồi nhanh sau bước xác minh tối thiểu, đưa xử lý nặng vào queue có retry, dead-letter và quan sát được. 5. Giới hạn kích thước request, tốc độ, timeout và nguồn mạng khi nhà cung cấp hỗ trợ dải địa chỉ/đặc tính xác thực đã công bố. Không chỉ tin IP allow-list vì hạ tầng đối tác có thể thay đổi và địa chỉ nguồn không chứng minh được payload nguyên vẹn. Ngược lại, chữ ký cũng không thay thế TLS, rate limit, logging và cách ly xử lý nội bộ. Tham khảo: OWASP API Security Top 10 2023 – Unsafe Consumption of APIs.