ওয়েবহুকস ব্যাখ্যা: সাইনড পেলোড এবং রিট্রাই স্ট্র্যাটেজি

আপনি একটি API তৈরি করেছেন এবং এখন ইভেন্ট ঘটলে অন্যান্য সার্ভিসকে জানাতে চান। পোলিং অদক্ষ, তাই আপনি ওয়েবহুক প্রয়োগ করেন। কিন্তু শীঘ্রই দুটি সাধারণ সমস্যার সম্মুখীন হন: পেলোডের সাথে ছেঁড়াছেঁড়ি হয়নি তা কীভাবে নিশ্চিত করবেন, এবং রিসিভিং এন্ডপয়েন্ট ডাউন থাকলে কী করবেন। এই নিবন্ধে ব্যাখ্যা করা হয়েছে কীভাবে সাইনড পেলোড এবং রিট্রাই স্ট্র্যাটেজি ব্যবহার করে আপনার ওয়েবহুককে সুরক্ষিত ও নির্ভরযোগ্য করা যায়।

ওয়েবহুকের সিগনেচার এবং রিট্রাই কেন প্রয়োজন

ওয়েবহুক হল ইভেন্ট দ্বারা ট্রিগার করা HTTP কলব্যাক। এগুলি বাস্তবায়ন করা সহজ কিন্তু নিরাপত্তা এবং নির্ভরযোগ্যতার চ্যালেঞ্জ তৈরি করে। সিগনেচার ছাড়া, একজন আক্রমণকারী আপনার এন্ডপয়েন্টে জাল অনুরোধ পাঠাতে পারে, যার ফলে ডেটা বিকৃতি বা অননুমোদিত ক্রিয়া ঘটতে পারে। রিট্রাই ছাড়া, ক্ষণস্থায়ী ব্যর্থতা (যেমন নেটওয়ার্ক সমস্যা বা সাময়িক সার্ভার ত্রুটি) ইভেন্ট মিস করতে পারে।

সাইনড পেলোড প্রামাণিকতা সমাধান করে: প্রেরক একটি গোপন কী দিয়ে পেলোড সাইন করেন, এবং প্রাপক তা যাচাই করেন। রিট্রাই নির্ভরযোগ্যতা সমাধান করে: প্রেরক ব্যর্থ ডেলিভারি ব্যাকঅফ সহ পুনরায় চেষ্টা করেন।

সাইনড পেলোড কীভাবে কাজ করে

একটি সাইনড পেলোডে অনুরোধের বডি এবং একটি শেয়ার্ড সিক্রেট থেকে উৎপন্ন একটি ক্রিপ্টোগ্রাফিক সিগনেচার থাকে। সবচেয়ে সাধারণ পদ্ধতি হল HMAC (হ্যাশ-বেসড মেসেজ অথেনটিকেশন কোড) সহ SHA-256।

সিগনেচার তৈরি করা

প্রেরক সিক্রেট কী ব্যবহার করে কাঁচা অনুরোধের বডির HMAC গণনা করেন। সিগনেচারটি একটি হেডারে পাঠানো হয়, প্রায়শই রিপ্লে আক্রমণ প্রতিরোধের জন্য একটি টাইমস্ট্যাম্পের সাথে।

// Node.js উদাহরণ: HMAC সিগনেচার তৈরি করা
const crypto = require('crypto');

function signPayload(payload, secret) {
  const timestamp = Math.floor(Date.now() / 1000);
  const signedPayload = `${timestamp}.${JSON.stringify(payload)}`;
  const signature = crypto
    .createHmac('sha256', secret)
    .update(signedPayload)
    .digest('hex');
  return { timestamp, signature };
}

হেডারে টাইমস্ট্যাম্প এবং সিগনেচার অন্তর্ভুক্ত করুন, যেমন X-Webhook-Timestamp এবং X-Webhook-Signature।

সিগনেচার যাচাই করা

প্রাপককে অবশ্যই প্রাপ্ত টাইমস্ট্যাম্প এবং কাঁচা বডি ব্যবহার করে সাইনড পেলোড পুনর্গঠন করতে হবে, তারপর HMAC গণনা করতে হবে এবং নিরাপদে তুলনা করতে হবে।

// Node.js উদাহরণ: সিগনেচার যাচাই করা
function verifySignature(rawBody, timestamp, receivedSignature, secret) {
  const signedPayload = `${timestamp}.${rawBody}`;
  const expectedSignature = crypto
    .createHmac('sha256', secret)
    .update(signedPayload)
    .digest('hex');
  // টাইমিং-সেফ তুলনা ব্যবহার করুন
  return crypto.timingSafeEqual(
    Buffer.from(expectedSignature, 'hex'),
    Buffer.from(receivedSignature, 'hex')
  );
}

টাইমিং আক্রমণ প্রতিরোধের জন্য সর্বদা টাইমিং-সেফ তুলনা ব্যবহার করুন। এছাড়াও, রিপ্লে আক্রমণ প্রশমিত করতে টাইমস্ট্যাম্পটি সাম্প্রতিক (যেমন, 5 মিনিটের মধ্যে) কিনা তা পরীক্ষা করুন।

রিট্রাই স্ট্র্যাটেজি ডিজাইন করা

নির্ভরযোগ্য ওয়েবহুক ডেলিভারির জন্য রিট্রাই অপরিহার্য। কিন্তু সাধারণ রিট্রাই প্রাপককে অভিভূত করতে পারে বা ডুপ্লিকেট প্রসেসিংয়ের কারণ হতে পারে। একটি ভাল রিট্রাই স্ট্র্যাটেজিতে অন্তর্ভুক্ত থাকে:

• এক্সপোনেনশিয়াল ব্যাকঅফ: প্রতিটি রিট্রাইয়ের মধ্যে দীর্ঘ অপেক্ষা করুন (যেমন, 1s, 2s, 4s, 8s...)।
• সর্বোচ্চ রিট্রাই: অসীম লুপ এড়াতে প্রচেষ্টার সংখ্যা সীমিত করুন (যেমন, 5)।
• ডেড-লেটার কিউ: সর্বোচ্চ রিট্রাইয়ের পরে, ম্যানুয়াল পরিদর্শনের জন্য ইভেন্টটি সংরক্ষণ করুন।
• আইডেম্পোটেন্সি: একটি অনন্য ইভেন্ট আইডি অন্তর্ভুক্ত করুন যাতে প্রাপক ডুপ্লিকেট সরাতে পারেন।

এখানে সিউডোকোডে একটি সাধারণ রিট্রাই লুপ:

function deliverWithRetry(url, payload, maxRetries = 5) {
  let attempt = 0;
  while (attempt < maxRetries) {
    try {
      const response = await fetch(url, { method: 'POST', body: payload });
      if (response.ok) return;
    } catch (error) {
      // ত্রুটি লগ করুন
    }
    attempt++;
    const delay = Math.pow(2, attempt) * 1000; // এক্সপোনেনশিয়াল ব্যাকঅফ
    await new Promise(resolve => setTimeout(resolve, delay));
  }
  // ডেড-লেটার কিউতে সরান
}

থান্ডারিং হার্ড সমস্যা এড়াতে ব্যাকঅফে জিটার যোগ করার কথা বিবেচনা করুন।

তুলনা: পোলিং বনাম রিট্রাই সহ ওয়েবহুক

ধাপে ধাপে: সিগনেচার এবং রিট্রাই সহ ওয়েবহুক প্রয়োগ করা

1. প্রতিটি ওয়েবহুক এন্ডপয়েন্টের জন্য একটি গোপন কী তৈরি করুন এবং নিরাপদে শেয়ার করুন।
2. ইভেন্ট ঘটলে, পেলোড (JSON) তৈরি করুন এবং সিক্রেট ও টাইমস্ট্যাম্প ব্যবহার করে HMAC-SHA256 দিয়ে সিগনেচার গণনা করুন।
3. POST অনুরোধ পাঠান এন্ডপয়েন্টে হেডার সহ: Content-Type: application/json, X-Webhook-Timestamp, এবং X-Webhook-Signature।
4. প্রাপকের দিকে, কাঁচা বডি এবং টাইমস্ট্যাম্প ব্যবহার করে সিগনেচার যাচাই করুন। অবৈধ বা টাইমস্ট্যাম্প খুব পুরানো হলে প্রত্যাখ্যান করুন।
5. যদি ডেলিভারি ব্যর্থ হয় (নন-2xx প্রতিক্রিয়া বা নেটওয়ার্ক ত্রুটি), সর্বোচ্চ প্রচেষ্টা সংখ্যা পর্যন্ত এক্সপোনেনশিয়াল ব্যাকঅফ সহ পুনরায় চেষ্টা করুন।
6. সর্বোচ্চ রিট্রাইয়ের পরে, ব্যর্থতা লগ করুন এবং ঐচ্ছিকভাবে সতর্ক করুন; ম্যানুয়াল রিপ্লের জন্য ডেড-লেটার কিউতে ইভেন্টটি সংরক্ষণ করুন।
7. প্রাপকের উপর আইডেম্পোটেন্সি নিশ্চিত করুন একটি ইভেন্ট আইডি ব্যবহার করে ডুপ্লিকেট উপেক্ষা করে।

সাধারণ ভুল এবং সর্বোত্তম অনুশীলন

• কাঁচা বডি ব্যবহার না করা: অনেক ফ্রেমওয়ার্ক JSON পার্স করে বডি পরিবর্তন করে। সিগনেচার যাচাইয়ের জন্য কাঁচা বডি ব্যবহার করুন।
• টাইমস্ট্যাম্প উপেক্ষা করা: টাইমস্ট্যাম্প যাচাই ছাড়া, রিপ্লে আক্রমণ সম্ভব।
• আইডেম্পোটেন্সি নেই: রিট্রাই ডুপ্লিকেট প্রসেসিংয়ের কারণ হতে পারে। আইডেম্পোটেন্সি কী ব্যবহার করুন।
• অসীম রিট্রাই: সর্বদা একটি সর্বোচ্চ রিট্রাই সীমা এবং একটি ডেড-লেটার কিউ সেট করুন।
• লগ না করা: ডিবাগিংয়ের জন্য ডেলিভারি প্রচেষ্টা এবং ব্যর্থতা লগ করুন।

সাধারণ জিজ্ঞাসা

সাইনড ওয়েবহুক পেলোড কী?

একটি সাইনড ওয়েবহুক পেলোডে একটি ক্রিপ্টোগ্রাফিক সিগনেচার (যেমন HMAC) থাকে যা প্রাপককে যাচাই করতে দেয় যে অনুরোধটি প্রত্যাশিত প্রেরক থেকে এসেছে এবং এর সাথে ছেঁড়াছেঁড়ি হয়নি।

ব্যর্থ ওয়েবহুক কতবার পুনরায় চেষ্টা করা উচিত?

সাধারণ অনুশীলন হল এক্সপোনেনশিয়াল ব্যাকঅফ সহ 3–5 বার রিট্রাই। সঠিক সংখ্যা আপনার SLA এবং ইভেন্টের গুরুত্বের উপর নির্ভর করে। সর্বদা রিট্রাই সীমা অতিক্রমকারী ইভেন্টের জন্য ডেড-লেটার কিউ ব্যবহার করুন।

সিগনেচার ছাড়া ওয়েবহুক ব্যবহার করা যায়?

এটি সুপারিশ করা হয় না। সিগনেচার ছাড়া, আপনার এন্ডপয়েন্ট জাল অনুরোধের জন্য ঝুঁকিপূর্ণ। সর্বদা সিগনেচার (যেমন HMAC) ব্যবহার করুন এবং রিপ্লে আক্রমণ প্রতিরোধে টাইমস্ট্যাম্প যাচাই করুন।

ওয়েবহুক ডেলিভারি ডিবাগ করার সময়, সার্ভার লগ পরিদর্শন করা অত্যন্ত গুরুত্বপূর্ণ। আপনি যদি Nginx ব্যবহার করেন, Nginx Log Analyzer আপনাকে অ্যাক্সেস লগ পার্স এবং বিশ্লেষণ করতে সাহায্য করতে পারে ওয়েবহুক অনুরোধ ট্রেস করতে এবং ব্যর্থতা সনাক্ত করতে।