Ротация HMAC-ключей подписи Webhook'ов

Ключи подписи исходящих вебхуков переводятся на плановую ротацию раз в 180 дней. Первая автоматическая ротация выполнена 24.08.2026 для всех подписок Event API.

Как это работает

1. За 14 дней до ротации в подписке появляется второй активный ключ.
2. Каждый вебхук в этот период приходит с двумя заголовками X-Atlas-Signature — по одному на ключ.
3. Приёмник обязан считать валидным сообщение, если совпала любая из подписей.
4. По истечении окна старый ключ отзывается, остаётся один заголовок.

Что проверить в своём обработчике

• Разбор нескольких значений одного заголовка, а не только первого.
• Сравнение подписей в постоянном времени — обычное == уязвимо к тайминг-атаке.
• Проверку X-Atlas-Timestamp: расхождение больше 5 минут считается просроченным.