Skip to main content

Webhooks de producción rechazados con 401

Feedback

Hola equipo! Necesitamos ayuda para diagnosticar la autenticación de webhooks en producción, porque las requests entrantes no están alineando con el esquema de seguridad documentado.

Contexto:
Endpoint: https://mercantis.io/api/rebill/webhook
Content-Type procesado: application/json
Implementamos validación HMAC SHA-256 según docs (x-rebill-signature + secreto compartido)

  • También probamos allowlist de IPs (34.225.22.63, 3.221.139.192)

Comportamiento observado:
Las requests entrantes no incluyen x-rebill-signature (ni headers equivalentes de firma)
IP de origen observada en logs: 52.158.209.200 (fuera de la allowlist documentada)

  • Resultado: 401 en el 100% de los intentos (no es intermitente)

Importante:

  • Esta integración venía funcionando correctamente.

  • No rotamos API keys ni cambiamos la URL del webhook.

¿Nos pueden confirmar el contrato de autenticación vigente para webhooks en producción?
Si lo necesitan, podemos compartir request IDs y timestamps exactos de entregas fallidas.

Posted by Lucas Nasich ·
Status: Completed2 comments

Log in to comment and vote

Comments2

  • Lautaro Acosta

    •

    Mar 31

    Hola! Gracias por el reporte detallado, nos sirve mucho.

    Ya estamos revisando el tema internamente. Vamos a verificar el contrato de autenticación vigente para webhooks y validar si hubo algún cambio en las IPs de origen o en el esquema de firma.

    • Lautaro Acosta

      •

      Mar 31

      Hola @Lucas Nasich ! Ya estuvimos revisando y el problema debería estar resuelto.

      Aprovecho para comentarte un cambio importante en las IPs de origen de webhooks:

      → Nueva IP (ya activa): 52.158.209.200

      → IPs legacy: 34.225.22.63 y 3.221.139.192 — van a seguir activas hasta el 14 de abril, después se dan de baja.

      Les recomendamos agregar la nueva IP a su allowlist y mantener las anteriores hasta esa fecha para una transición sin cortes.

      Cualquier cosa nos avisan!