Webhooks

Stripe

Stripe-Webhooks benötigen secrets/stripe_webhook_secret.

Für lokale Tests:

./scripts/local/stripe-listen-local.sh

Das Script hört standardmäßig auf payment_intent.succeeded, schreibt das aktuelle Signing Secret nach secrets/stripe_webhook_secret und startet den Backend-Container neu, damit das neue Secret geladen wird.

Zusätzliche Events:

STRIPE_EVENTS=payment_intent.succeeded,charge.succeeded ./scripts/local/stripe-listen-local.sh

Marktpreis-Refresh

Der Marktpreis-Refresh wird über einen Secret-geschützten Endpoint gestartet. Requests verwenden den Header:

x-market-sync-secret: <MARKET_PRICE_SYNC_SECRET>

Der Secret-Wert darf nicht in Logs, Antworten oder Dokumentation erscheinen.

Admin-Debug-Endpoints

Admin-Debugseiten laufen über den Admin-Bereich. Der zugehörige Backend-Zugriff prüft serverseitig requireAuth plus Admin-Rolle.

Der frühere separate Debug-Token ist für das Headless-Inspect-Debugging nicht mehr vorgesehen.