Đăng ký
Đăng ký HTTPS theo allowlist; backend phân giải và kiểm tra đích theo chính sách SSRF.
MOBILE-ID · TRUSTED LTANS
Thông báo qua webhook
Kiểm tra chữ ký trên byte gốc, chống phát lại và khử trùng theo hợp đồng giao nhận mục tiêu.
Hợp đồng ký thông báo mục tiêu
Bộ hồ sơ đề xuất HMAC-SHA256 dùng khóa chia sẻ cấp ngoài băng. Đây là lựa chọn thiết kế cần thống nhất với bên nhận, không phải xác nhận dịch vụ đang dùng thuật toán này.
Target webhook profile v1 — not a deployed endpoint guarantee
Content-Type: application/json; charset=utf-8
X-LTANS-Key-ID: key-test-001
X-LTANS-Timestamp: 1792040400
X-LTANS-Event-ID: evt-test-001
X-LTANS-Signature: v1=<lowercase hex HMAC-SHA256>
signedBytes = UTF8(timestamp + "." + eventId + ".") || rawBody
secret = BASE64_DECODE(secretFromSecureProvisioning)
Rules: exact raw bytes; reject unknown key; constant-time MAC comparison;
abs(receivedUnixSeconds - signedTimestamp) <= 300 (target test profile);
require header eventId == parsed body.eventId; deduplicate per tenant + eventId;
persist inbox before acknowledging; retain event IDs through the agreed replay window.
Rotation: provision new key securely, overlap by keyId for an agreed interval, retire old key.
Never place the shared secret in a browser bundle or logs.
Giao nhận và phục hồi
- Chỉ nhận HTTPS, giới hạn kích thước, từ chối đích nội bộ chưa cho phép và kiểm tra DNS theo chính sách SSRF.
- Bên nhận lưu inbox bền vững trước trả 2xx; khử trùng theo tổ chức và
eventId. - Gửi lại có giãn thời gian và giới hạn; số lần, lịch và thời gian giữ được chốt theo môi trường.
- Thứ tự giới hạn theo phân vùng đối tượng; kiểm tra phiên bản trạng thái và truy vấn lại khi sự kiện đến muộn.
- Phát lại có phê duyệt giữ
eventId; không tính sử dụng lần hai.
Danh mục sự kiện
19 sự kiện: điều kiện phát, bên xử lý đề xuất, ý nghĩa trạng thái, đối soát và giới hạn envelope hiện hành.
Đọc hướng dẫn tích hợp →Hợp đồng sự kiện AsyncAPI
Hợp đồng sự kiện có phiên bản, bên phát, phạm vi thứ tự và quy tắc giao nhận.
Đọc hướng dẫn tích hợp →
Bộ ca thử nghiệm tích hợp
Các ca thành công, gửi trùng, thiếu dữ liệu, lỗi TSA, webhook và chuyển giao cùng tiêu chí mong đợi.
Đọc hướng dẫn tích hợp →Vòng đời endpoint và lỗi kéo dài
Xác minh
Kiểm tra quyền bên nhận và khả năng xác minh thông điệp; challenge nếu hồ sơ quy định, không bịa giao thức.
Giao nhận
Lưu lần gửi, HTTP outcome và lịch thử lại; người nhận ghi inbox bền vững trước trả thành công.
Phục hồi
Lỗi kéo dài đưa tới rà soát/tạm dừng theo chính sách; phát lại có quyền, giữ định danh và đối soát trạng thái.
Khóa ký luân chuyển theo keyId và kênh cấp bảo mật. Gỡ đăng ký dùng DELETE đã có trong hợp đồng; các thao tác quản trị khác chưa có endpoint riêng phải được ghi đúng phạm vi.