Comment vous assureriez-vous qu'un webhook de paiement ne facture ou ne provisionne jamais un client deux fois ?

Considérez la livraison comme au moins une fois et rendez le gestionnaire idempotent. Vérifiez d'abord la signature, puis stockez l'identifiant d'événement du fournisseur derrière une contrainte d'unicité et renvoyez 200 immédiatement si vous l'avez déjà vu. Faites le changement d'état et l'insertion de l'identifiant dans une seule transaction pour qu'un plantage ne puisse pas l'appliquer à moitié. Gardez le gestionnaire rapide en mettant le travail lent en file, et laissez le fournisseur réessayer quand vous échouez vraiment.

L'hypothèse de départ, c'est que le fournisseur livrera le même événement plus d'une fois, dans le désordre, et parfois avec des heures de retard, parce que les trois arrivent. Donc le gestionnaire vérifie d'abord la signature et l'horodatage, puis insère l'identifiant d'événement du fournisseur dans une table processed_events avec un index unique. Si cette insertion entre en conflit, c'est qu'on l'a déjà traité, et je renvoie 200 tout de suite plutôt que de refaire le travail. Le détail important, c'est que l'insertion et l'effet réel, accorder l'abonnement ou enregistrer le paiement, se font dans la même transaction, pour qu'un processus qui meurt à mi-chemin ne puisse pas laisser l'un sans l'autre. Tout ce qui est lent, comme envoyer un e-mail de reçu, part dans une file avec sa propre clé d'idempotence. Je stocke aussi l'horodatage de l'événement et j'ignore un événement plus ancien que l'état que j'ai déjà, ce qui vous sauve quand une annulation arrive avant la mise à niveau qui la précédait. En cas d'échec je renvoie délibérément un 500 pour que le fournisseur réessaie, et j'alerte si un événement atterrit dans la file de rebut.