GoCardless-webhook: 498 Token Invalid, 204 en de Webhook-Signature-handtekening

Wat GoCardless zegt

Elk ander antwoord dan 2xx zorgt ervoor dat GoCardless opnieuw probeert: 9 leverpogingen in totaal, de eerste plus 8 herhalingen, steeds met meer tussenruimte. Bovendien wacht het maximaal 10 seconden op het antwoord.

Hoe de handtekening wordt gecontroleerd

GoCardless ondertekent elke verzending met een HMAC SHA256 in hexadecimaal van de body zoals die is, met het geheim van het endpoint, en stuurt die mee in de header Webhook-Signature. Als het geheim in Odoo niet dat van het endpoint is, klopt geen enkele handtekening. Dat gebeurt bij een verkeerd gekopieerd geheim, bij het opnieuw genereren in het Dashboard zonder het in Odoo bij te werken, of wanneer events van een ander account naar een Odoo worden gestuurd.

De connector neemt niet de eerste GoCardless-configuratie die hij vindt: hij zoekt de configuratie met het geheim waarmee die verzending is ondertekend. Zo weigert een vergeten testconfiguratie de echte events niet.

Wat Odoo met de connector antwoordt

Het verschil in Odoo 20 is geen keuze van de connector: de HTTP-server ervan laat geen antwoord toe met een code die niet standaard is, en 498 is dat niet. Wat er daarna gebeurt, hangt af van hoe de events binnenkomen. In de geavanceerde modus gaan ze rechtstreeks van GoCardless naar Odoo: bij een 401 probeert GoCardless opnieuw een verzending die niet zal kloppen, en een verkeerd geplaatst geheim zie je als reeks mislukte herhalingen in het Dashboard van GoCardless. Met de verbinding in twee klikken komen ze via FlexigoTech Cloud binnen, die dat 401 als definitief behandelt, net als een 498.

Als een event niet binnenkomt

GoCardless garandeert dat elk event minstens één keer aankomt, niet precies één keer: het kan herhaald worden. De connector slaat elk event op dat hij toepast, één per event en per GoCardless-configuratie, en als hetzelfde event opnieuw komt, past hij het niet twee keer toe. Dat is belangrijk bij geld: een tweemaal bevestigde betaling mag niet twee incasso's op de factuur registreren. Gaat een event verloren, dan haalt de geplande actie die elk uur de ontbrekende events bij GoCardless opvraagt ze terug, tot 100 per run.

Wat te doen

1. Gebruik je de verbinding in twee klikken ("Connect my GoCardless account"), dan zet FlexigoTech Cloud de webhooks op: er is geen geheim om te kopiëren.
2. In de geavanceerde modus ("Paste an access token (advanced)") maak jij het endpoint en het geheim aan in het Dashboard van GoCardless: kopieer het exacte geheim in de GoCardless-configuratie in Odoo.
3. Als je het geheim opnieuw genereert, werk het dan meteen bij in Odoo; tot dat moment mislukt elke verzending.
4. Controleer in het Dashboard van GoCardless de mislukte verzendingen: vandaar kun je ze handmatig opnieuw afspelen.

Met onze connector

In Odoo 17, 18, 19 en 20 controleert de connector de handtekening van elke verzending tegen het geheim van elke GoCardless-configuratie, antwoordt hij met de codes die GoCardless begrijpt en haalt hij, voor het geval er iets verloren gaat, elk uur de events op.

Lees verder