Sujet : stripe
-
Pagination de l'API Stripe et clés d'idempotence : starting_after, has_more et la fenêtre de 24 heures
Les endpoints de liste v1 de Stripe paginent avec les paramètres de curseur mutuellement exclusifs starting_after/ending_before (limit de 1 à 100, 10 par défaut) et un indicateur has_more, des assistants de pagination automatique des bibliothèques clientes permettant de parcourir toutes les pages. Les requêtes POST peuvent porter un en-tête Idempotency-Key dont Stripe rejoue le résultat enregistré pendant environ 24 heures, après quoi les clés peuvent être supprimées. Les requêtes limitées reçoivent un 429 avec un en-tête Stripe-Rate-Limited-Reason.
-
Vérifier les signatures des webhooks Stripe : Stripe-Signature, tolérance sur l'horodatage et rotation du secret
Stripe envoie un en-tête Stripe-Signature de la forme t=<timestamp>,v1=<hex signature>, calculé par HMAC-SHA256 sur la chaîne "{timestamp}.{raw body}" avec pour clé le secret d'endpoint whsec_ complet. Par défaut, les bibliothèques Stripe rejettent les signatures dont l'horodatage a plus de cinq minutes (300 secondes) et, tant qu'un ancien secret reste actif après une rotation (jusqu'à 24 heures), l'en-tête contient une valeur v1 par secret actif.
Lisible par machine : JSON