El encabezado del constructor de un endpoint tiene un panel de Ajustes con varias protecciones, todas desactivadas por defecto, así que un endpoint que construiste antes de que existieran sigue funcionando exactamente como antes.
Límite de velocidad
Limita cuántas solicitudes por minuto puede hacer un único emisor, contado por su dirección IP o por la clave de API que enviaron. Una vez alcanzado el límite, las siguientes solicitudes recibirán un 429 hasta que empiece la siguiente ventana de un minuto.
CORS
Controla qué orígenes de sitios web pueden llamar a tu endpoint directamente desde un navegador: una lista específica de orígenes permitidos, o todos. Esto controla los encabezados de respuesta reales que comprueba un navegador, incluyendo en su solicitud automática de preflight, reemplazando el antiguo comportamiento fijo de "permitir a todos".
Autenticación más allá de una clave de API
Además de Requiere una clave de API, un endpoint puede en cambio (o además) requerir HMAC (un encabezado de solicitud firmado, igual que Stripe, GitHub, y Shopify firman sus webhooks, un ajuste predefinido de un clic rellena el nombre de encabezado y el algoritmo correctos para cada uno), autenticación Basic (un nombre de usuario y contraseña), o un token portador JWT, además de una lista de IP permitidas que se aplica sin importar qué modo uses.
Límites de solicitud y obsolescencia
También puedes limitar el tamaño máximo del cuerpo de la solicitud, restringir qué tipos de contenido se aceptan, y marcar un endpoint como obsoleto (opcionalmente con una fecha de retirada), lo que añade los encabezados correspondientes sin dejar el endpoint fuera de servicio.
Consejo: Un ajuste predefinido de webhook es la forma más rápida de recibir eventos de Stripe, GitHub, o Shopify de forma segura, rellena el encabezado HMAC exacto y el algoritmo que ese proveedor realmente usa, así que no tienes que buscarlo tú mismo.