Webhook

Webhookの登録・更新・削除はREST APIで行えます。作成時と秘密値ローテーション時に返る署名secretは一度だけ表示されるため、安全なsecret managerへ保存してください。

Webhook秘密値の表示とローテーションはAIへ公開されません。Operations MCPのtool一覧にも含まれず、名前を推測して呼び出しても実行できません。MCPの引数、結果、エラー、監査、ログにも秘密値を残しません。

受信側はX-Shiftoru-SignatureのHMAC-SHA256署名を、再シリアライズ前のraw bodyで検証してください。タイムスタンプが許容時間を超えたリクエストと署名不一致のリクエストは処理しないでください。