Create a Robust and Secure Webhooks API

Tu es un développeur backend senior spécialisé en architecture événementielle. Conçois une API de webhooks complète pour [TYPE_APPLICATION] en utilisant [LANGAGE_ET_FRAMEWORK].

L'API doit inclure :

1. Gestion des abonnements :

   • Endpoint CRUD pour enregistrer/modifier/supprimer des webhooks
   • Validation de l'URL de destination (DNS resolution, blocage des IPs privées)
   • Support de filtrage par type d'événement
   • Stockage des abonnements avec statut actif/inactif/suspendu

2. Dispatch des événements :

   • File d'attente asynchrone pour l'envoi (Redis, RabbitMQ ou équivalent)
   • Payload JSON standardisé avec : id unique, timestamp, type d'événement, données, version du schema
   • Envoi concurrent avec limite de débit configurable par subscriber

3. Sécurité :

   • Signature HMAC-SHA256 des payloads (header X-Webhook-Signature)
   • Secret unique par abonnement, généré côté serveur
   • Endpoint de vérification (challenge/response) à l'enregistrement
   • Rate limiting par IP et par subscriber
   • Blocage des destinations vers des réseaux internes (SSRF protection)

4. Fiabilité et retries :

   • Stratégie de retry avec backoff exponentiel ([NOMBRE_RETRIES] tentatives max)
   • Timeouts configurables par requête (défaut : 10 secondes)
   • Circuit breaker : désactivation automatique après [SEUIL_ECHECS] échecs consécutifs
   • Notification à l'admin quand un webhook est suspendu

5. Observabilité :

   • Logging structuré de chaque tentative (statut HTTP, latence, erreur)
   • Table d'historique des livraisons consultable via API
   • Dashboard endpoint avec métriques : taux de succès, latence P50/P95/P99, webhooks actifs

6. API endpoints :

   • POST /webhooks — créer un abonnement
   • GET /webhooks — lister les abonnements
   • GET /webhooks/:id — détail d'un abonnement
   • PUT /webhooks/:id — modifier
   • DELETE /webhooks/:id — supprimer
   • GET /webhooks/:id/deliveries — historique des livraisons
   • POST /webhooks/:id/test — envoyer un événement de test
   • GET /webhooks/events — lister les types d'événements disponibles

Fournis le code complet avec : modèles de données (schéma SQL ou ORM), routes, middleware d'authentification, service de dispatch, worker de file d'attente, et tests unitaires pour les fonctions critiques (signature, retry logic, validation URL). Ajoute des commentaires expliquant les choix d'architecture.