为何PayPal Webhook无法发送至Azure及自定义子域名？

核心可能原因 #

• PayPal域名安全校验规则：PayPal对Webhook端点域名有严格安全过滤，像azurewebsites.net这类共享域名池中的子域名，大概率被标记为高风险，直接触发拦截。而自定义子域名dev.mysite.com如果没在PayPal商户后台完成域名验证，或未通过SSL信任校验，也会被拒绝。
• SSL证书问题：PayPal强制要求Webhook端点使用受主流CA信任的有效SSL证书。子域名若使用泛域名证书但配置有误，或证书未覆盖该子域名，会导致请求失败。另外Azure App Service默认的azurewebsites.net证书，可能存在信任链不完整的情况，被PayPal安全机制拦截。
• 端点可达性与响应超时：
  • 子域名对应的服务器可能开启了WAF、防火墙，拦截了PayPal的请求IP段。需要检查Azure网络安全组、应用服务防火墙规则，确保PayPal官方IP能正常访问端点。
  • PayPal要求Webhook端点必须在3秒内返回200 OK响应，子域名服务如果响应延迟超过阈值，会被判定为无效端点。
• 账户配置限制：部分沙盒测试账户或未完成企业认证的账户，可能存在隐性限制，仅允许绑定已验证的顶级域名，子域名不在允许范围内。

排查验证步骤 #

1. SSL证书校验：用SSL检测工具确认子域名的证书有效、覆盖该域名，且信任链完整。
2. 端点连通性测试：用curl命令模拟POST请求：curl -X POST https://dev.mysite.com/api/paypal/webhook -H "Content-Type: application/json" -d '{"test": "payload"}'，检查是否快速返回200状态码。
3. 防火墙规则检查：确认PayPal官方IP段未被拦截（可在PayPal开发者文档中获取完整IP列表）。
4. PayPal后台配置核对：在Webhook设置页面重新添加子域名端点，完成验证流程，确保配置项无错误。

内容的提问来源于stack exchange，提问作者deype0