15장. Webhook 서명

raw body로 HMAC/공개키 서명을 검증하고 timestamp와 replay window를 확인한다. parser가 body를 바꾸기 전에 검증한다. IP allowlist는 보조 신호이지 서명 대체가 아니다.

secret rotation 동안 두 key를 짧게 허용하고 key ID를 기록한다. 실패 원인을 외부에 자세히 주지 않는다. constant-time comparison을 library로 사용한다.