Le verdict en trois phrases
Les operateurs mobile money renvoient volontairement plusieurs fois le meme webhook (3 a 6 occurrences) pour garantir la livraison, ce qui expose toute integration naive au double-comptage. La parade n'est pas de faire confiance a l'ordre d'arrivee, mais de poser une cle d'idempotence et une table de deduplication a TTL. En 2026, entre 4 et 9 % des events sont des doublons — a un ticket moyen de 12 000 a 45 000 FCFA, chaque double-credit evite est de l'argent reel sauve.
Comportement des webhooks par operateur (2026)
Ordres de grandeur 2026 pour dimensionner votre file de traitement.
| Operateur | Occurrences meme event | Fenetre retry | Signature | Taux doublons |
|---|---|---|---|---|
| Wave | 3-5 | 24-48 h | HMAC | 4-7 % |
| Orange Money | 3-6 | 48-72 h | HMAC/token | 5-9 % |
| MTN MoMo | 3-6 | 24-72 h | HMAC | 4-8 % |
| Moov Money | 3-5 | 24-48 h | token | 4-7 % |
| Agregateur PSP | 2-4 | 24 h | HMAC | 3-5 % |
Retenez : verifier la signature HMAC doit prendre moins de 200 ms, et la fenetre de retry impose une table de dedup dont le TTL couvre 30 a 90 jours pour absorber les retries tardifs.
Cle par event_id ou par reference commande ?
Le choix de la cle d'idempotence determine la robustesse. Comparatif 2026.
| Critere | Cle par event_id | Cle par reference commande |
|---|---|---|
| Bloque les retries identiques | oui | oui |
| Bloque les events distincts d'une meme commande | non | oui (attention aux legitimes) |
| Gestion remboursement partiel | facile | delicate |
| Risque de faux positif | faible | moyen |
| TTL table dedup | 30-90 jours | 30-90 jours |
| Recommandation | statut de paiement | reservation de stock |
La bonne pratique 2026 : cle par event_id pour la deduplication brute des webhooks, complétée par un verrou logique sur la reference commande pour l'effet metier (crediter, expedier). On ne melange jamais les deux roles.
Mini cas pratique
Seydou opere une boutique en ligne a Dakar : 400 commandes/jour, ticket moyen 22 000 FCFA. Orange Money renvoie en moyenne 4 fois chaque webhook, avec 7 % de doublons non filtres au depart. Sans idempotence, ~28 commandes/jour risquaient un double-credit ou une double-expedition, soit ~616 000 FCFA/jour de valeur exposee. Apres mise en place d'une table de dedup (cle event_id, TTL 60 jours) et d'un verrou par reference, le taux de double-traitement tombe a 0. Cout de l'incident evite sur un mois : plusieurs millions de FCFA de litiges et de stock expedie a tort.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Pourquoi les operateurs renvoient-ils le meme webhook ?
Pour garantir la livraison "au moins une fois" : si votre serveur ne repond pas 200 assez vite, ils rejouent l'event 3 a 6 fois sur 24 a 72 h. C'est un comportement normal a absorber, pas un bug.
Quelle cle d'idempotence choisir ?
Une cle par event_id pour la deduplication des webhooks, doublee d'un verrou par reference commande pour l'effet metier. Cette separation evite a la fois les doublons techniques et les double-credits.
Combien de temps garder la table de dedup ?
Un TTL de 30 a 90 jours couvre les retries les plus tardifs. En dessous de 30 jours, un retry tardif d'Orange Money (fenetre jusqu'a 72 h, plus rejeux exceptionnels) peut repasser au travers.
Faut-il verifier la signature HMAC a chaque fois ?
Oui, systematiquement, en moins de 200 ms. Un webhook non signe ou a signature invalide doit etre rejete avant meme d'entrer dans la file de deduplication.
Comment gerer un remboursement partiel sans casser l'idempotence ?
Traitez le remboursement comme un event distinct avec son propre event_id, et appliquez l'effet metier via le verrou de reference commande. Ne reutilisez jamais la cle du paiement initial.
Discutons de votre projet. Nous concevons vos webhooks Wave, OM et MTN avec idempotence garantie et zero double-credit. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
