APIIP de webhooks
Desde dónde entrega FITAL sus webhooks y cómo se avisan los cambios.
Verificar la firma HMAC sigue siendo obligatorio. Una IP correcta no prueba que el mensaje sea de FITAL. Esta lista sirve para abrir tu firewall y no sustituye la firma.
La lista también está en /webhook-ips.json y en GET /v1/meta/egress-ips. En la cuenta de prueba esa ruta responde una lista vacía.
Aviso de cambios
Una IP nueva se publica 15 días antes de usarse, salvo arreglos urgentes de seguridad, en Cambios, RSS y panel. Durante la transición se publican ambas.
El evento system.egress_ips.changing avisa lo mismo a tu destino, con ip, change (added o retiring) y effective_at. Llega una vez a cada destino activo y suscrito, también si lo activas después del anuncio, hasta una hora antes de effective_at. Un destino activado en esa última hora puede no recibir el webhook. El aviso sigue en GET /v1/events, y las IP en GET /v1/meta/egress-ips. Ver su cuerpo.
Errores comunes
- Filtrar por IP y omitir la firma.
- Fijar la lista en tu firewall sin vigilar Cambios.