Исключения для вебхуков и callback-запросов API

Начните с точного endpoint

В правилах защиты выберите шаблон исключения для платежного вебхука. Замените /api/webhook на фактический путь callback и оставьте POST, если его использует провайдер. Добавьте условие IP или IPv4 CIDR, когда провайдер публикует постоянный диапазон отправки. Все условия должны совпасть.

Cloudhider передаёт запрос дальше. Приложение всё равно должно проверять подпись провайдера, время и идентификатор события. Сетевое исключение не подтверждает оплату и не разрешает действие внутри приложения.

Осознанно используйте вайтлист URL

В отдельной вкладке вайтлиста указывается один путь или фрагмент на строку. Прежний режим «Содержит» ищет фрагмент в любой части пути. Префикс проверяет начало, точное совпадение — весь путь. Регистр не учитывается, query-параметры в проверке не участвуют.

Пользовательское правило нужно, когда важны HTTP-метод, IP или срок действия. Короткий фрагмент вроде api в прежнем режиме может совпасть со многими endpoint. Если достаточно одного пути, выбирайте точное совпадение.

Ограничьте временное исключение

На время миграции или инцидента задайте срок истечения правила пропуска бот-проверок. Проверьте местное время в редакторе и сохраните изменения. После истечения обычные проверки браузера и частоты запросов возобновятся, если запрос не подходит под другое исключение.

Исключения обходят проверку браузера и мягкий лимит. Явные запреты, защита от эксплойтов и жёсткий лимит продолжают работать. Если запрос всё ещё блокируется, изучите причину и ID запроса перед расширением условий.

Проверьте доставку

Отправьте обычное тестовое событие средствами провайдера и изучите метод, путь, статус и решение в «Трафике и событиях». Откройте тестер из события, чтобы проверить пользовательские условия. Тестер не отправляет callback повторно и не воспроизводит финансовые или другие изменяющие состояние операции.