С чем обратился клиент
Клиенту требовалась двусторонняя синхронизация статусов.
Что обнаружилось при проверке
Endpoint был публичным и проверял только наличие JSON. Повтор, порядок событий и источник не контролировались.
Почему это важно
Посторонний запрос меняет данные; старое событие перезаписывает новое; аудит не доказывает источник.
Что нужно сделать
Добавить HMAC-подпись, timestamp/nonce, допустимое окно времени, idempotency и объектные права.
Как проверить результат
Запрос с неверной подписью отклоняется; повтор не меняет данные; валидное событие фиксирует trace ID.
Ориентир стоимости
Ориентир: 8 000–18 000 ₽.
CTA
Узнали похожую ситуацию? Пришлите ссылку на сайт и опишите, где проявляется проблема. Сначала проверим публичную часть и объясним следующий шаг без запроса постоянных паролей.