Correlacione e valide callbacks
Gere token protegido vinculado à execução e ao tipo de callback esperado. Valide origem, assinatura e payload antes de avançar e evite colocar dados sensíveis na URL.
Torne o tratamento idempotente para entregas duplicadas retornarem o resultado anterior sem repetir efeitos. Defina como lidar com callbacks concorrentes da mesma execução.
Defina timeout e recuperação
Escolha quanto tempo aguardar e o que fazer ao expirar: repetir a solicitação externa, enviar para revisão ou encerrar com falha clara. Alinhe o prazo à janela prevista do serviço externo.
Registre recebimento, validação e estado sem segredos. Teste callbacks válidos, duplicados, malformados, atrasados e ausentes, incluindo recuperação após reinício do mecanismo.