Sécuriser les webhooks de paiement : vérification de signature 2026

Le verdict en trois phrases

Ne faites jamais confiance à un webhook non signé : n'importe qui peut appeler votre URL et simuler un paiement réussi. La défense repose sur trois piliers : vérification de signature HMAC, idempotence (traiter une notification une seule fois) et protection anti-rejeu. Une faille ici peut coûter des livraisons non payées à répétition, bien plus que le coût de l'intégration correcte.

Les trois piliers de sécurité

Chaque webhook doit franchir ces contrôles avant de créditer une commande. Une IP allowlist ajoute une couche, mais ne remplace jamais la signature.

Chiffres, latence et bonnes pratiques

Un webhook bien conçu répond vite et traite en asynchrone. L'opérateur réessaie si vous ne renvoyez pas un 2xx, d'où l'importance de l'idempotence pour ne pas créditer deux fois.

En pratique : recevez le payload brut, recalculez le HMAC avec votre clé secrète, comparez en temps constant, vérifiez le timestamp, puis cherchez l'identifiant de transaction en base ; s'il existe déjà, répondez 200 sans retraiter.

Mini cas pratique

Modou, développeur d'une boutique à Thiès, avait un endpoint qui créditait toute requête POST. Un pic de 7 fausses notifications en une nuit à déclenche 7 préparations de commande non payées, soit environ 210 000 FCFA de marchandise engagée. Après ajout de la vérification HMAC, de l'idempotence par identifiant de transaction et d'une allowlist IP, zéro faux crédit en 3 mois, et les retries de l'opérateur sont gerements absorbés grâce à la réponse 200 idempotente.

FAQ

Pourquoi vérifier la signature d'un webhook ? Parce que l'URL est publique : sans signature HMAC, n'importe qui peut simuler un paiement validé. La vérification garantit que la notification vient bien de Wave, Orange Money ou Stripe.

Qu'est-ce que l'idempotence concrètement ? C'est traiter une même notification une seule fois, même si l'opérateur l'envoie plusieurs fois. On stocke l'identifiant de transaction et on ignore les doublons pour éviter le double-crédit.

Comment bloquer le rejeu d'un webhook ? En vérifiant un timestamp dans une fenêtre courte (5 minutes) et en rejetant tout payload trop ancien, même si sa signature est validé.

Faut-il tester en sandbox avant la production ? Oui, impérativement. Wave, Orange Money et Stripe fournissent des environnements de test ; validez signature, idempotence et retries avant d'ouvrir les paiements réels.

Une IP allowlist suffit-elle ? Non. Elle filtre le bruit mais les IP peuvent changer ou être usurpées ; la signature HMAC reste la protection principale.

Discutons de votre projet. Nous sécurisons vos webhooks de paiement avec signature HMAC, idempotence et anti-rejeu, testés en sandbox avant la prod. WhatsApp +221 77 596 93 33.