Как провести аудит вебхуков на портале

Полезный аудит вебхуков заканчивается списком понятных интеграций, а не только количеством ключей. Для каждого входящего вебхука нужны владелец, назначение, разрешённые разделы и сервис, в котором он используется.

Сравните эти права с реальными операциями. Если интеграция только создаёт заявки, полный административный доступ требует объяснения. Отдельно отметьте ключи уволенных сотрудников и секреты в браузерном JavaScript, публичных репозиториях или журналах URL.

Активность нельзя надёжно определить только по названию вебхука. Ищите обращения в доступных журналах и настройки потребителя. Отсутствие запросов за один день не доказывает, что ежемесячная выгрузка больше не нужна.

Ненужные ключи отзывают, используемые с лишними правами — заменяют после проверки потребителя. Для обнаруженного публичного секрета нужна ротация: удаление строки из файла не делает уже раскрытый ключ закрытым.