Registrare la diagnostica webhook senza segreti

La diagnostica webhook deve spiegare un tentativo senza copiarne credenziali o dati privati. Questo conta soprattutto per share.accessed, il cui payload attuale contiene il token di condivisione valido.

Passaggi

1. Dopo aver verificato la firma, crea un record di log strutturato con X-Dosya-Event-Id, X-Dosya-Delivery-Id, X-Dosya-Event-Type, ora del ricevitore, esito della verifica e ID interno di correlazione o coda.
2. Escludi la chiave segreta di firma dell’endpoint, X-Dosya-Signature originale, materiale di autorizzazione e corpo completo della richiesta. I dati di caricamento ed eliminazione contengono ID e nomi di file; quelli di accesso alla condivisione includono share_id e un token utilizzabile da chi lo possiede.
3. Se un operatore ha bisogno del contesto del payload, consenti esplicitamente i campi non segreti per tipo di evento e oscura i valori prima di registrarli. Non affidarti a un serializzatore JSON generico che potrebbe inserire automaticamente nei log campi futuri.
4. Dopo la ricezione persistente, restituisci una conferma 2xx vuota o priva di dati sensibili. dosya conserva i primi 500 caratteri della risposta del ricevitore: il corpo può esporre dati in Invii recenti anche se i log dell’applicazione sono puliti.
5. In caso di errore, registra la classe dell’eccezione locale e l’ID di tracciamento interno invece del payload. dosya registra separatamente lo stato HTTP, un estratto limitato della risposta o l’errore di trasporto se non arriva risposta.
6. Apri Integrazioni → Webhook → Invii e correla un test controllato per tipo di evento, ora di creazione, stato, tentativi e prossimo tentativo. Verifica che né il log del ricevitore né l’anteprima della risposta in dosya rivelino segreti.

Ogni richiesta in uscita contiene anche Content-Type: application/json e User-Agent: dosya-webhooks/1. Sono informazioni utili sul trasporto, ma non autenticano un invio.

Risultato previsto

Gli operatori possono seguire un webhook da dosya al ricevitore usando gli identificativi di evento, invio e attività interna. I log e gli estratti delle risposte salvati omettono segreti di firma, token di condivisione, payload di file e altri contenuti riservati.

Compare testo privato in Risposta. Rimuovilo dal corpo della risposta del ricevitore, distribuisci la modifica ed evita di copiare l’estratto esistente in richieste di assistenza o chat.

Un errore non ha stato HTTP. Considera l’errore salvato come un problema DNS, TLS, di rete o di timeout e correlalo all’ID di tracciamento della piattaforma del ricevitore.

Guide correlate

• Verificare le firme webhook
• Controllare gli invii