SicherheitWebhooks
Webhook-Signaturen prüfen: Warum HMAC-SHA256 der einzig sichere Weg ist, einem Zahlungs-Callback zu trauen
Auf deinem Server trifft ein Zahlungs-Webhook ein, der meldet, eine Bestellung sei bezahlt. Vertraust du ihm? Wenn du die Bestellung allein aufgrund des HTTP-Aufrufs freigibst – ohne eine kryptografische Signatur zu prüfen –, hast du Angreifern gerade einen kostenlosen Weg geschenkt, jede beliebige Bestellung als bezahlt zu markieren.
