Paramètres

Vérifier la signature

Chaque envoi suit la norme Standard Webhooks : en-têtes webhook-id, webhook-timestamp et webhook-signature, signés en HMAC-SHA256 avec le secret du webhook. Les bibliothèques officielles de la norme fonctionnent telles quelles.

import { createHmac, timingSafeEqual } from "node:crypto";

// secret : la valeur whsec_… affichée dans votre espace
export function verifier(secret, headers, body) {
  const id = headers["webhook-id"];
  const ts = headers["webhook-timestamp"];
  if (Math.abs(Date.now() / 1000 - Number(ts)) > 300) return false;
  const cle = Buffer.from(secret.replace(/^whsec_/, ""), "base64");
  const attendu = createHmac("sha256", cle).update(`${id}.${ts}.${body}`).digest();
  return headers["webhook-signature"].split(" ").some((s) => {
    const recu = Buffer.from(s.split(",")[1] ?? "", "base64");
    return recu.length === attendu.length && timingSafeEqual(recu, attendu);
  });
}

Répondez par un code 2xx en moins de 10 secondes. Sinon l'envoi est retenté sept fois, sur près de deux jours ; un code 410 arrête le webhook.