GoCardless-Webhook: 498 Token Invalid, 204 und die Webhook-Signature

Was GoCardless sagt

Jede andere Antwort, die kein 2xx ist, veranlasst GoCardless zu einem neuen Versuch: insgesamt 9 Zustellversuche, der erste plus 8 Wiederholungen, mit immer größeren Abständen. Außerdem wartet GoCardless höchstens 10 Sekunden auf die Antwort.

Wie die Signatur geprüft wird

GoCardless signiert jede Sendung mit einem HMAC SHA256 in Hexadezimal über den Textkörper unverändert, mit dem Geheimschlüssel des Endpunkts, und schickt sie im Header Webhook-Signature. Wenn der Geheimschlüssel in Odoo nicht der des Endpunkts ist, passt keine Signatur. Das passiert beim fehlerhaften Kopieren des Schlüssels, beim Neugenerieren im Dashboard ohne Aktualisierung in Odoo oder wenn die Ereignisse eines anderen Kontos an ein Odoo geschickt werden.

Der Konnektor nimmt nicht die erste GoCardless-Konfiguration, die er findet: Er sucht diejenige, deren Geheimschlüssel diese Sendung signiert hat. So lehnt eine vergessene Testkonfiguration die echten Ereignisse nicht ab.

Was Odoo mit dem Konnektor antwortet

Der Unterschied bei Odoo 20 ist keine Entscheidung des Konnektors: Sein HTTP-Server erlaubt keine Antwort mit einem Code, der nicht standardisiert ist, und 498 gehört nicht dazu. Was danach passiert, hängt davon ab, wie die Ereignisse ankommen. Im erweiterten Modus kommen sie direkt von GoCardless zu Odoo: Bei 401 versucht GoCardless eine Sendung erneut, die weiterhin nicht passen wird, und ein falsch eingetragener Schlüssel zeigt sich als Reihe fehlgeschlagener Versuche im Dashboard von GoCardless. Bei der Verbindung mit zwei Klicks laufen sie über FlexigoTech Cloud, die dieses 401 als endgültig behandelt, genauso wie ein 498.

Wenn ein Ereignis nicht ankommt

GoCardless garantiert, dass jedes Ereignis mindestens einmal ankommt, nicht genau einmal: Es kann sich wiederholen. Der Konnektor speichert jedes angewendete Ereignis, eines pro Ereignis und pro GoCardless-Konfiguration, und wenn dasselbe erneut eintrifft, wendet er es nicht zweimal an. Das ist bei Geld wichtig: Eine doppelt bestätigte Zahlung darf nicht zwei Zahlungseingänge in der Rechnung erzeugen. Und wenn ein Ereignis verloren geht, holt die geplante Aktion, die jede Stunde bei GoCardless die fehlenden Ereignisse anfordert, sie nach, bis zu 100 pro Durchlauf.

Was zu tun ist

1. Wenn Sie die Verbindung mit zwei Klicks nutzen («Connect my GoCardless account»), richtet FlexigoTech Cloud die Webhooks ein: Es gibt keinen Schlüssel zu kopieren.
2. Im erweiterten Modus («Paste an access token (advanced)») erstellen Sie den Endpunkt und seinen Geheimschlüssel selbst im Dashboard von GoCardless: Kopieren Sie den genauen Schlüssel in die GoCardless-Konfiguration in Odoo.
3. Wenn Sie den Schlüssel neu generieren, aktualisieren Sie ihn sofort in Odoo; bis dahin schlägt jede Sendung fehl.
4. Prüfen Sie im Dashboard von GoCardless die fehlgeschlagenen Sendungen: Von dort lassen sie sich manuell erneut auslösen.

Mit unserem Konnektor

In Odoo 17, 18, 19 und 20 prüft der Konnektor die Signatur jeder Sendung gegen den Geheimschlüssel jeder GoCardless-Konfiguration, antwortet mit den Codes, die GoCardless versteht, und holt für den Fall, dass etwas verloren geht, jede Stunde die Ereignisse nach.

Weiterlesen