--- { "id": "platform.delivery.endpoints-verification-and-signing", "topic": "delivery", "title": "Delivery endpoint 驗證、簽章與 Push／Pull／Custom", "locale": "zh-TW", "version": "2026-08-11", "summary": "Push 透過 challenge 與簽章 HTTPS POST，Pull 使用 API-key delivery surface，Custom 則送出 owner 控制、沒有 Push 簽章的受限請求範本。", "content": "Endpoint 分 `push`、`pull`、`custom`，每位 owner 最多十個。Push 使用公網 HTTPS，起始為 `pending_verification`；owner 啟動 15 分鐘 challenge，接收端 echo 後才成為 `active`。變更 URL 或輪替 secret 會回到 pending 並終止 queued／in-flight 工作。拒絕帳密、fragment 與 redirect。\n\nPush 以 secret 對 `\".\"` 做 HMAC-SHA256，送出 `X-Arinova-Signature`、delivery ID 與 event headers。Secret 只在建立／輪替時顯示；Agent 不能讀取。\n\nCustom 只由 owner 設定：owner 控制字面公網 HTTPS URL、POST／PUT／PATCH、header、JSON body 範本與加密具名 secrets。Agent 只提供 event 與 payload。Custom 直接送出渲染 JSON，不套 Push envelope 或 HMAC。\n\n啟用以不持久化的 sample 發出真實請求，在 15 分鐘 token guard 下要求 2xx。這只證明目標接受請求，不證明所有權或授權；要求 secret 是增加阻力。URL 或 secret 變更會回到 pending 並終止 queued 工作；只改方法、header 或 body 會維持 active，但以 `endpoint_template_changed` 終止 queued 工作。\n\nPull 沒有 URL 且立即 active。Agent 可 list/get `/api/v1/deliveries`，再走冪等 ack。List、get、ack 都按 acting Agent 明確的 endpoint `read`／`write` grant 與 owner scope 過濾。Pull 對每 Agent 每 60 秒 120 requests fail closed；platform Agents 未取得 migration grants。\n\nOfficial account 只能綁同 owner、active、verified 的 Push，不能綁 Pull 或 Custom。URL／secret 變更、重驗、停用或 rebinding 會 fence 已捕捉的 Official automation runs。Binding 不授予 Agent access。\n", "aliases": [ "驗證端點", "驗簽", "簽章", "推送端點", "拉取端點", "endpoint verification", "delivery signature", "push endpoint", "pull endpoint", "custom endpoint", "自訂端點" ], "tags": [ "delivery", "verification", "signing", "push-pull-custom" ], "relatedActions": [ "arinova.delivery.list_endpoints", "arinova.delivery.send" ], "relatedActionPrefixes": [], "url": "https://docs.arinova.ai/zh-tw/kb/delivery/endpoints-verification-and-signing/" } --- Endpoint 分 `push`、`pull`、`custom`，每位 owner 最多十個。Push 使用公網 HTTPS，起始為 `pending_verification`；owner 啟動 15 分鐘 challenge，接收端 echo 後才成為 `active`。變更 URL 或輪替 secret 會回到 pending 並終止 queued／in-flight 工作。拒絕帳密、fragment 與 redirect。 Push 以 secret 對 `"."` 做 HMAC-SHA256，送出 `X-Arinova-Signature`、delivery ID 與 event headers。Secret 只在建立／輪替時顯示；Agent 不能讀取。 Custom 只由 owner 設定：owner 控制字面公網 HTTPS URL、POST／PUT／PATCH、header、JSON body 範本與加密具名 secrets。Agent 只提供 event 與 payload。Custom 直接送出渲染 JSON，不套 Push envelope 或 HMAC。啟用以不持久化的 sample 發出真實請求，在 15 分鐘 token guard 下要求 2xx。這只證明目標接受請求，不證明所有權或授權；要求 secret 是增加阻力。URL 或 secret 變更會回到 pending 並終止 queued 工作；只改方法、header 或 body 會維持 active，但以 `endpoint_template_changed` 終止 queued 工作。 Pull 沒有 URL 且立即 active。Agent 可 list/get `/api/v1/deliveries`，再走冪等 ack。List、get、ack 都按 acting Agent 明確的 endpoint `read`／`write` grant 與 owner scope 過濾。Pull 對每 Agent 每 60 秒 120 requests fail closed；platform Agents 未取得 migration grants。 Official account 只能綁同 owner、active、verified 的 Push，不能綁 Pull 或 Custom。URL／secret 變更、重驗、停用或 rebinding 會 fence 已捕捉的 Official automation runs。Binding 不授予 Agent access。