Как обрабатывать webhook безопасно?

Первое — проверять подпись (HMAC, RSA) чтобы убедиться что запрос от настоящего сервиса. Второе — idempotency: обрабатывать каждый event_id один раз, сохранять в базу. Третье — отвечать 200 быстро, тяжёлую обработку в фоне. Четвёртое — retry-safe логика, webhook может прийти дважды. Пятое — HTTPS only и whitelist IP если возможно.