Как ограничить вебхуки по IP и времени

Если у потребителя есть прямой секрет входящего вебхука облачного портала, ваш внешний прокси не сможет запретить ему обращаться к порталу напрямую. Ограничение работает только тогда, когда сам секрет остаётся на шлюзе.

Схема такая: клиент авторизуется на вашем backend, backend проверяет разрешённый IP или срок действия своего ключа и вызывает ограниченный набор методов Bitrix24. URL вебхука клиенту не отдаётся.

На шлюзе нельзя принимать произвольное имя REST-метода и весь набор параметров без проверки — иначе ограничение сведётся к переносу полного доступа в другой адрес. Лучше определить конкретные операции, например создание заявки с фиксированным списком полей.

В коробке дополнительные сетевые ограничения можно задать на своём веб-сервере. Учитывайте reverse proxy и доверенные источники IP: подставленный клиентом X-Forwarded-For не должен обходить правило.