[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"questions:item:ru:zachem-podpisyvayutsya-vebhuki":3},{"id":4,"title":5,"answer":6,"body":7,"category":77,"description":78,"extension":79,"meta":80,"modifiedAt":81,"navigation":82,"pairId":83,"path":84,"publishedAt":85,"question":86,"relatedPath":87,"seo":88,"seoTitle":89,"sitemap":90,"slug":91,"stem":92,"translationSlug":93,"__hash__":94},"questions_ru\u002Fvoprosy\u002Fzachem-podpisyvayutsya-vebhuki.md","Zachem Podpisyvayutsya Vebhuki","Адрес, на который приходят уведомления о платежах, доступен любому, кто его знает. Без проверки подлинности магазин поверит и постороннему запросу — поэтому уведомление подписывается секретным ключом, а обработчик на стороне магазина обязан эту подпись сверить.",{"type":8,"value":9,"toc":70},"minimark",[10,13,18,31,35,46,50,61],[11,12,6],"p",{},[14,15,17],"h2",{"id":16},"что-произойдёт-без-проверки","Что произойдёт без проверки",[19,20,21,25,28],"ul",{},[22,23,24],"li",{},"Любой, кто знает адрес обработчика и номер заказа, сможет отправить туда «успешную оплату».",[22,26,27],{},"Магазин пометит заказ оплаченным и отгрузит товар, денег при этом не будет.",[22,29,30],{},"В отчётах расхождение всплывёт только при сверке с реестром выплат — то есть с задержкой.",[14,32,34],{"id":33},"как-проверяется-подпись","Как проверяется подпись",[19,36,37,40,43],{},[22,38,39],{},"Секретный ключ известен только вам и сервису — в запросах к API он не передаётся.",[22,41,42],{},"Из тела уведомления и ключа считается контрольная сумма и передаётся в заголовке.",[22,44,45],{},"Обработчик считает её сам и сравнивает: не совпало — запрос отклоняется с ошибкой 401.",[14,47,49],{"id":48},"что-проверить-в-своём-коде","Что проверить в своём коде",[19,51,52,55,58],{},[22,53,54],{},"Подпись сверяется до любых действий с заказом, а не после.",[22,56,57],{},"Сравнение делается функцией, устойчивой к атаке по времени, а не обычным равенством строк.",[22,59,60],{},"Неподошедший запрос отклоняется, а не игнорируется молча: иначе проблему никто не заметит.",[11,62,63,64,69],{},"Что делать при утечке секретного ключа — в ",[65,66,68],"a",{"href":67},"\u002Fvoprosy\u002Fchto-delat-esli-utek-sekretnyy-klyuch","отдельном ответе",".",{"title":71,"searchDepth":72,"depth":72,"links":73},"",2,[74,75,76],{"id":16,"depth":72,"text":17},{"id":33,"depth":72,"text":34},{"id":48,"depth":72,"text":49},"security","Адрес вебхука доступен всем, кто знает ваш сайт. Разбираем, зачем уведомление подписывается и почему магазин обязан проверять подпись сам.","md",{},null,true,"question-39","\u002Fvoprosy\u002Fzachem-podpisyvayutsya-vebhuki","2026-08-17","Зачем уведомления о платежах подписываются?","\u002Fpayment-api",{"description":78},"Подпись вебхука: зачем она нужна магазину",{"loc":84},"zachem-podpisyvayutsya-vebhuki","voprosy\u002Fzachem-podpisyvayutsya-vebhuki","why-webhooks-are-signed","jMnygyZgKi7EDCfOrbyK1C2wRV9RgWLyzouLYjCsjas"]