ну передаст злоумышленник свой ххххххххххххххххххххххх юзер ид и что?

пусть передает, вам то что с этого?

Ок, спасибо за дельный совет

(перед тем узнав ваш вебхук откуда-то)

с этого и надо было начинать, потому как судя по вопросам, вы даже представляете механизм взаимодействия пользователя и вашего навыка

Ага

Хотя знаете, я вот подумал, что такая защита все-таки может быть полезной. Если допустить ошибки на стороне яндекса. Мы доподлино не знаем, насколько секюрно хранятся user_id, и какое кол-во людей имеет к ним доступ. Возможно, сотрудник яндекса увольняясь из компании сдампит себе эту базу, и потом из дома начнет ходить в навык мой-любимый-банк с честными user-id. Проверка на то, что запрос действительно отправлен яндексом в данном случае очень поможет.

что помешает сотруднику прихватить с собой и сертификат?

вот вы сейчас очень горячо от того что я делаю

речь про банковский продукт в навыке, где любая возможность получить данные пользователя - критична

++ хотя сертификаты обычно хранятся более секьюрно и его можно принудительно обновить

Можно менять адрес хука добавляя туда авторизацию

вам прошлый раз скидывали цитаты из eula

а еще добавить второй фактор - это уже сделано и работает=)  не релизится из-за безопасности

используя алису, вы добровольно продаете свою душу яндексу)

более того, там открытым текстом написано, что данные могут быть переданы третьим лицам. а вы про сотрудников говорите...

не нашел там, что данные пользователя  уходят налево и направо. Если это так - стоит закрывать проект

я про АЛису - зачем эта дыра для данных?  колыбельные слушать и в поле чудес играть?

в смысле не нашли? вам прямо нужные цитаты здесь приводили

пункт 3.13, что касается ВАШИХ данных