API реселлера: вебхуки

События вебхуков, формат данных, проверка HMAC-подписи на Python и Node, повторы с задержкой, правила для URL и дедупликация по id события.

Создать вебхук

POST /webhooks (право webhooks): адрес только https и список событий. Максимум 5 вебхуков.

curl -s -X POST https://app.oneprovider.dev/partner/v1/webhooks \
-H "Authorization: Bearer $OP_PARTNER_TOKEN" \
-H "Content-Type: application/json" \
-d '{"url":"https://shop.example.com/op-webhook","events":["order.completed","balance.low"]}'

{
"id": "<webhook id>",
"url": "https://shop.example.com/op-webhook",
"events": ["order.completed", "balance.low"],
"active": true,
"secret_last4": "a1b2",
"created_at": "2026-10-08T12:00:00Z",
"secret": "whsec_..."
}

События

В данных событий никогда нет секретов: ни ключей, ни токенов, ни кодов.

Запрос и подпись

Мы шлём POST с JSON-телом:

{
"id": "evt_...",
"type": "order.completed",
"created_at": "2026-10-08T12:00:00Z",
"data": {
"order_id": "<order id>",
"external_order_id": "shop-1042",
"kind": "new_key",
"key_id": "<key id>",
"amount_usd": "10.00"
}
}

v1 это hex от HMAC-SHA256, ключ которого секрет вебхука (whsec_...), а сообщение строка "<t>" + "." + raw_body.

Проверка подписи

1. Читайте сырое тело запроса: подпись считается по точным байтам, перекодированный JSON не подойдёт.
2. Пересчитайте HMAC и сравните со значением v1 за постоянное время (hmac.compare_digest, timingSafeEqual).
3. Отклоняйте запрос, если |сейчас - t| больше 5 минут: так старую подпись нельзя использовать повторно.
4. Отвечайте 2xx быстро (таймаут 10 секунд), тяжёлую работу делайте асинхронно.

Python

import hashlib
import hmac
import time
TOLERANCE = 300 # seconds
def verify(secret: str, header: str, raw_body: bytes) -> bool:
"""header is X-OP-Signature: t=<unix>,v1=<hex>; raw_body is the unparsed request body."""
parts = dict(p.strip().partition("=")[::2] for p in header.split(","))
t, v1 = parts.get("t", ""), parts.get("v1", "")
if not t.isdigit() or abs(time.time() - int(t)) > TOLERANCE:
return False
signed = t.encode() + b"." + raw_body
expected = hmac.new(secret.encode(), signed, hashlib.sha256).hexdigest()
return hmac.compare_digest(expected, v1)

import json
import os
from fastapi import FastAPI, HTTPException, Request
app = FastAPI()
SECRET = os.environ["OP_WEBHOOK_SECRET"] # whsec_...
seen: set[str] = set() # use a database table with a unique index in production
@app.post("/op-webhook")
async def op_webhook(request: Request):
raw = await request.body() # the raw bytes, before any JSON parsing
if not verify(SECRET, request.headers.get("X-OP-Signature", ""), raw):
raise HTTPException(status_code=400, detail="bad signature")
event = json.loads(raw)
if event["id"] in seen: # retries resend the same event id
return {"ok": True}
seen.add(event["id"])
if event["type"] == "order.completed":
... # your logic
return {"ok": True} # any 2xx marks the event as delivered

Node.js

import crypto from "node:crypto"
import express from "express"
const SECRET = process.env.OP_WEBHOOK_SECRET // whsec_...
const TOLERANCE = 300 // seconds
const seen = new Set() // use a database table with a unique index in production
function verify(secret, header, raw) {
const parts = Object.fromEntries(
String(header).split(",").map((p) => p.trim().split("=")),
)
const t = Number(parts.t)
if (!Number.isInteger(t) || Math.abs(Date.now() / 1000 - t) > TOLERANCE) return false
const expected = crypto
.createHmac("sha256", secret)
.update(parts.t + ".")
.update(raw)
.digest("hex")
const a = Buffer.from(expected)
const b = Buffer.from(parts.v1 ?? "")
return a.length === b.length && crypto.timingSafeEqual(a, b)
}
const app = express()
// express.raw keeps the body as a Buffer: do not use express.json() on this route
app.post("/op-webhook", express.raw({ type: "application/json" }), (req, res) => {
if (!verify(SECRET, req.get("X-OP-Signature"), req.body)) return res.sendStatus(400)
const event = JSON.parse(req.body.toString("utf8"))
if (!seen.has(event.id)) {
seen.add(event.id) // retries resend the same event id
if (event.type === "order.completed") {
// your logic
}
}
res.sendStatus(200) // any 2xx marks the event as delivered
})
app.listen(3000)

Повторы

Доставкой считается только ответ 2xx. Всё остальное (в том числе 3xx: редиректы мы не выполняем, таймаут и ошибки соединения) ведёт к повтору с растущей задержкой: 1 минута, 2, 4 и так далее, не больше 4 часов, пока не пройдёт 24 часа после события; после этого доставка получает статус failed. При каждом повторе уходит тот же id события, поэтому дедуплицируйте по нему: храните обработанные id в базе с уникальным индексом.

Правила для адреса

• Только https и имя хоста; IP-адреса вместо имени не принимаются.
• Все адреса, в которые разрешается имя, не должны быть частными, loopback, link-local или зарезервированными.
• Проверка идёт при создании и при каждой доставке. Нарушение при создании даёт 400 invalid_url.

Тест и журнал

curl -s -X POST https://app.oneprovider.dev/partner/v1/webhooks/<webhook id>/test -H "Authorization: Bearer $OP_PARTNER_TOKEN"
curl -s "https://app.oneprovider.dev/partner/v1/webhooks/<webhook id>/deliveries?limit=20" -H "Authorization: Bearer $OP_PARTNER_TOKEN"

Объект доставки: id, event_id, event, status (pending, delivered, failed), attempts, next_attempt_at, last_error, created_at. Удалить вебхук: DELETE /webhooks/{id}.