Webhook GoCardless: 498 Token Invalid, 204 i podpis Webhook-Signature

Co mówi GoCardless

Każda inna odpowiedź niż 2xx powoduje, że GoCardless ponawia próbę: łącznie 9 prób dostarczenia, pierwsza plus 8 ponowień, coraz rzadziej. Ponadto czeka na odpowiedź najwyżej 10 sekund.

Jak sprawdzana jest sygnatura

GoCardless podpisuje każde wysłanie HMAC SHA256 w postaci szesnastkowej z treści dokładnie tak, jak jest, kluczem sekretnym endpointu, i przesyła ją w nagłówku Webhook-Signature. Jeśli sekret, który ma Odoo, nie jest sekretem endpointu, żadna sygnatura się nie zgodzi. Dzieje się tak przy błędnym skopiowaniu sekretu, przy jego regeneracji w Dashboardzie bez aktualizacji w Odoo albo przy wysyłaniu do jednego Odoo zdarzeń z innego konta.

Konektor nie bierze pierwszej konfiguracji GoCardless, jaką znajdzie: szuka tej, która ma sekret podpisujący dane wysłanie. Dzięki temu zapomniana konfiguracja testowa nie odrzuca prawdziwych zdarzeń.

Co odpowiada Odoo z konektorem

Różnica w Odoo 20 nie wynika z wyboru konektora: jego serwer HTTP nie pozwala zwrócić kodu niestandardowego, a 498 takim nie jest. To, co dzieje się dalej, zależy od sposobu dotarcia zdarzeń. W trybie zaawansowanym idą bezpośrednio z GoCardless do Odoo: przy 401 GoCardless ponawia wysyłanie, które dalej się nie zgodzi, a źle ustawiony sekret widać jako serię nieudanych ponowień w Dashboardzie GoCardless. Przy połączeniu w dwóch kliknięciach docierają przez FlexigoTech Cloud, który traktuje to 401 jako ostateczne, tak jak 498.

Gdy zdarzenie nie dociera

GoCardless gwarantuje, że każde zdarzenie dotrze co najmniej raz, a nie dokładnie raz: może się powtórzyć. Konektor zapisuje każde zastosowane zdarzenie, po jednym na zdarzenie i konfigurację GoCardless, i jeśli to samo przyjdzie ponownie, nie stosuje go dwa razy. Ma to znaczenie przy pieniądzach: płatność potwierdzona dwa razy nie może zarejestrować dwóch wpłat na fakturze. A jeśli zdarzenie zginie, zaplanowane działanie, które co godzinę prosi GoCardless o brakujące zdarzenia, je odzyska, do 100 na przebieg.

Co zrobić

1. Jeśli używasz połączenia w dwóch kliknięciach („Connect my GoCardless account”), webhooki ustawia FlexigoTech Cloud: nie ma sekretu do kopiowania.
2. W trybie zaawansowanym („Paste an access token (advanced)”) endpoint i jego sekret tworzysz sam w Dashboardzie GoCardless: skopiuj dokładny sekret do konfiguracji GoCardless w Odoo.
3. Jeśli regenerujesz sekret, zaktualizuj go w Odoo od razu; do tego czasu każde wysłanie się nie powiedzie.
4. Sprawdź w Dashboardzie GoCardless nieudane wysyłki: stamtąd można je ponowić ręcznie.

Z naszym konektorem

W Odoo 17, 18, 19 i 20 konektor sprawdza sygnaturę każdego wysłania względem sekretu każdej konfiguracji GoCardless, odpowiada kodami, które GoCardless rozumie, a gdyby coś zginęło, co godzinę odzyskuje zdarzenia.

Czytaj dalej