Docusign eSignature API 轮询速率限制及Webhook安全相关问题咨询

问题1：正常用户操作场景下15分钟内多次调用同一资源接口是否会触发限制 #

15分钟1次的资源请求限制仅针对规则化自动轮询场景，不适用于用户主动触发的操作。短时间内（如2-3分钟）因用户交互产生的同一资源高频请求，只要符合DocuSign通用速率配额要求，就不会触发专项限制。DocuSign的轮询限制检测逻辑会识别固定间隔、无用户触发特征的重复请求，用户主动发起的连续查询信封信息、关联实体、审计事件等操作均不属于规则化轮询范畴，不会被该规则拦截。

问题2：是否所有GET类型唯一资源URL都适用15分钟轮询速率限制规则 #

该15分钟轮询专项限制仅适用于查询信封、收件人状态类的GET接口，其余GET接口包括模板查询、审计事件拉取、关联实体查询等，仅受通用速率限制约束，无15分钟单次的轮询限制。文档表述的差异来自新旧版本规则迭代的描述偏差，生产环境实际拦截逻辑仅针对状态查询类的重复GET请求做轮询限制。

问题3：OAuth场景下Webhook的可用安全加固方案 #

不需要依赖HMAC或mTLS的前提下，可选择以下安全加固方案，现有多租户OAuth集成场景多采用组合方案实现：

• 自定义请求头校验：配置Connect时在应用层面统一为Webhook接口新增自定义请求头，取值为仅服务端知晓的固定密钥，收到推送请求时先校验该请求头的取值是否匹配，该配置无需每个用户单独操作。
• Payload自校验：创建信封时在信封自定义字段中存入仅本系统知晓的对应信封唯一随机标识，Webhook推送的payload会携带该自定义字段，收到请求后校验该标识与系统存储的对应信封标识是否一致，即可确认请求合法性。
• IP白名单限制：在服务端网关层配置仅允许DocuSign公开的固定Connect推送IP段访问Webhook接口，直接拦截非法来源请求。

内容的提问来源于stack exchange，提问作者Pedro Franco