Verify first. Process once.

Die Sandbox erzeugt ein signiertes Testereignis mit Event-ID, Zeitpunkt, Payload und HMAC-SHA-256-Signatur. So lässt sich der eigene Verifier prüfen, ohne einen produktiven Zustellkanal vorzutäuschen.

Webhook testen Endpoint lesen

Sandbox contract

Ein Test für deinen Verifier – keine produktive Zustellung.

Der Endpoint liefert eine kanonische Payload und Verifikationsdaten zurück. Er ruft keine beliebige URL auf und trägt keine Clarity Accountdaten.

Event-ID: Stabile UUID zum Erkennen wiederholter Verarbeitung.
Zeitpunkt: Signierter Unix-Zeitpunkt; dein Server setzt ein enges Akzeptanzfenster.
Signatur: HMAC-SHA-256 über die exakt dokumentierten Bytes.
Idempotenz: Eine Event-ID erzeugt höchstens eine fachliche Wirkung in deinem System.
Grenze: Keine Registrierung externer Produktionsziele, keine Nutzer- oder Gesundheitsdaten, keine garantierte Reihenfolge.
Beobachtbarkeit: Request-ID, Projekt und tägliche Fehlerzahl bleiben im Developer Workspace nachvollziehbar.

verification-order.txt

read raw body
check signed timestamp window
compute HMAC-SHA-256
compare in constant time
deduplicate event id
process exactly once