Thema: stripe
-
Stripe-API: Paginierung und Idempotency-Keys (starting_after, has_more und das 24-Stunden-Fenster)
Die List-Endpunkte der Stripe-API v1 paginieren über die sich gegenseitig ausschliessenden Cursor-Parameter starting_after und ending_before (limit 1–100, Standard 10) sowie das Flag has_more; Auto-Pagination-Helfer der Client-Bibliotheken durchlaufen alle Seiten. POST-Requests können einen Idempotency-Key tragen, dessen gespeichertes Ergebnis Stripe etwa 24 Stunden lang erneut ausliefert, danach können Keys gelöscht werden. Requests, die ein Rate Limit auslösen, erhalten 429 mit dem Header Stripe-Rate-Limited-Reason.
-
Stripe-Webhook-Signaturen prüfen: Stripe-Signature, Zeitstempel-Toleranz und Secret-Rotation
Stripe sendet einen Stripe-Signature-Header der Form t=<timestamp>,v1=<hex signature>. Die Signatur ist ein HMAC-SHA256 über den String "{timestamp}.{raw body}", als Schlüssel dient das vollständige whsec_-Endpoint-Secret. Die Stripe-Bibliotheken lehnen standardmässig Signaturen ab, deren Zeitstempel mehr als fünf Minuten (300 Sekunden) alt ist, und solange ein rotiertes Secret noch gültig bleibt (bis zu 24 Stunden), enthält der Header pro aktivem Secret einen eigenen v1-Wert.
Maschinenlesbar: JSON