HMAC-SHA256-signiert · Deterministische event_id · 6-stufiges Backoff

Einheitliche Krypto-Zahlungs-Webhook-Ereignisse & Zustellarchitektur.

Automatisieren Sie Auftragsabwicklung, SaaS-Platz-Upgrades, Spielerguthaben-Aufladungen und ES256-Softwarelizenzausstellung mit signierten, idempotenten HMAC-SHA256 Webhooks über alle 12 unterstützten Blockchains hinweg.

🧪 Interaktiver HMAC-Webhook-Tester 🔐 Technischer Deep-Dive zur Signaturprüfung 🔁 Idempotenz-Bauplan ⚖️ Leitfaden für Unter- / Überzahlungen

Ereignistyp auswählen (9 kanonische Ereignisse)

HTTP-Header & JSON-Ereignis-Payload


        

    


    

        
Zeitkonstante HMAC-SHA256-Prüfung (6 Sprachen)

        

            
            
            
            
            
            
        

        

    


    

        

            Zuverlässigkeit
            
6-stufiger exponentieller Wiederholungsplan

            
Nicht-2xx-Antworten lösen automatische Wiederholungen aus nach 30s → 2m → 10m → 1h → 6h → 24hsowie eine manuelle 1-Klick-Wiederholung in Ihren Händler-Webhook-Protokollen.

        

        

            Hauptbuch-Integrität
            
Eindeutige event_id Idempotenz

            
Speichern Sie event_id als UNIQUE Datenbankschlüssel, bevor Sie Guthaben gutschreiben oder digitale Güter ausliefern, damit Wiederholungen niemals zu doppelter Ausführung führen.

        

        

            Ausgehende Sicherheit
            
TLS-gepinnt & SSRF-gehärtet

            
XPayr erzwingt striktes HTTPS, DNS-gepinnte öffentliche IP-Auflösung, CURLOPT_FOLLOWLOCATION=falseund Zeitstempel-Header mit 5-Minuten-Replay-Schutzfenster.

        

    


    

        
Webhooks & Callbacks – Häufige Fragen

                    

                Wie überprüfe ich, ob ein Webhook tatsächlich von XPayr stammt?
                
Berechnen Sie HMAC-SHA256 über den exakten ungeparsten Roh-HTTP-Request-Body mit Ihrem whsec_-Endpunktgeheimnis und vergleichen Sie den Hex-Digest zeitkonstant mit X-XPayr-Signature über Funktionen wie crypto.timingSafeEqual (Node.js), hmac.compare_digest (Python) oder hash_equals (PHP).

            

                    

                Was ist der Unterschied zwischen payment.completed und payment.underpaid_accepted?
                
payment.completed wird ausgelöst, wenn der On-Chain-Transfer dem exakten Rechnungsbetrag entspricht oder ihn übersteigt. payment.underpaid_accepted wird ausgelöst, wenn eine direkte Börsen-QR-Auszahlung innerhalb der XPayr-Toleranzschwelle von 1% (max. $0.50) eingeht, wobei sowohl requested_amount als auch received_amount übermittelt werden, damit Ihr Hauptbuch centgenau bleibt.

            

                    

                Wie behandelt XPayr Endpunktausfälle oder 5xx-Antworten?
                
Jede Antwort außerhalb von HTTP 200–299 (oder langsamer als 10 Sekunden) gelangt unter Beibehaltung derselben event_id in die exponentielle Backoff-Warteschlange von XPayr (30s, 2m, 10m, 1h, 6h, 24h), sodass Ihre Idempotenz-Tabelle doppelte Gutschriften verhindert.

            

                    

                Welche URL-Sicherheitsregeln gelten für Händler-Webhook-Endpunkte?
                
Produktive Webhook-Ziele müssen HTTPS über öffentlich routbare DNS/IPs mit gültigen TLS-Zertifikaten verwenden. XPayr blockiert unverschlüsseltes HTTP, private/Loopback-RFC1918-Bereiche, Cloud-Metadaten-IPs und HTTP-Weiterleitungen zum Schutz vor SSRF.