Web kancalarının ve HMAC imza doğrulamasının test edilmesi

Webhook alıcıları, dışarıdan gelen verilerle işlem yapan halka açık uç noktalardır; bu da imza doğrulamasını, URL'nizi bilen herkesle aranızdaki tek engel haline getirir. Webhook API'si her teslimatı bir HMAC ile imzalar ve inceleyebileceğiniz ve tekrar oynatabileceğiniz bir teslimat günlüğü tutar; böylece doğrulayıcıya güvenmek yerine onu test edebilirsiniz.

Bunu nasıl uygulayabilirsiniz?

1. Abonelik kaydedin, olay tetikleyin ve gövdeyi işlemeden önce imzayı ortak sırla doğrulayın.
2. Yükün bir baytını değiştirin ve imza doğrulamasının başarısız olduğunu kontrol edin.
3. Kaydedilmiş teslimatı tekrar oynatın; alıcının aynı olayı iki kez işlemeyen idempotent davranışını kontrol edin.
4. İmza karşılaştırmasında sabit süreli bir yöntem kullanıldığını kontrol edin; sıradan dize karşılaştırmaları zamanlama bilgisi sızdırabilir.
5. Teslimat günlüğünde gerçekten gelen başlıkları inceleyin; varsayımlarınıza güvenmeyin.

Denemek için API'ler

• Webhooks API — Register callbacks, trigger events, inspect & replay deliveries. (7 endpoints)
• Hata Enjeksiyonu API'si — Latency, status codes, malformed payloads & flaky responses. (5 endpoints)

İlgili durum kodları

• 200 Tamam
• 201 Created
• 401 Unauthorized
• 409 Conflict

Diğer teknikler

• Sayfalama testi — Practise page-number and cursor pagination, and the edge cases that break clients: the last partial page, an out-of-range page, and a total count that disagrees with what you collected.
• Hız sınırlama testi — Trigger a real 429 with Retry-After and X-RateLimit headers, and verify your client backs off instead of retrying straight into the limit.
• İdempotans anahtar testi— Send the same write twice with an Idempotency-Key and confirm the operation happens once — the mechanism that stops a network retry becoming a duplicate charge.
• ETag ve If-Match testleri— Provoke a 412 Precondition Failed by writing with a stale ETag — the check that stops two clients silently overwriting each other.
• OAuth ve JWT testleri — Run real client-credentials, authorization-code and device-code flows, then test what your client does when the token expires mid-session.
• Negatif test — Provoke 400, 401, 403, 404, 409, 418, 422, 429, 500 and 503 deliberately, and check your client handles each one differently.
• Asenkron iş testi— Start a long-running job, follow the 202 and its Location header, and poll to completion — including the failure and timeout paths.

Başlangıç rehberi · 39 mock REST API’nin tamamı

Son güncelleme 16 Ekim 2026