Webhook signing

• HMAC algorithm: SHA-256 (стандарт). SHA-1 deprecated
• Payload: обычно включает timestamp для replay protection
• Header name: не унифицировано — X-Signature, X-Hub-Signature-256, Stripe-Signature
• Timing-safe comparison: hash_equals() в PHP, crypto.timingSafeEqual() в Node
• Secret rotation: provider даёт grace period — валидны 2 secrets одновременно

// PHP verification
$expected = hash_hmac("sha256", $body, $secret);
$actual = $_SERVER["HTTP_X_SIGNATURE_256"];
if (!hash_equals($expected, $actual)) return 401;

• Webhook
• JWT
• Idempotency

HMAC подпись (Hash-based Message Authentication Code) используется для проверки целостности и подлинности данных, отправляемых через вебхуки. Она обеспечивает защиту от подделки сообщений, позволяя получателю удостовериться, что данные действительно были отправлены авторизованным источником. Для создания HMAC подписи используется секретный ключ и хэш-функция (например, SHA-256), что делает этот метод надежным для обеспечения безопасности вебхуков.

Для настройки HMAC подписи в вашем приложении, выполните следующие шаги:

1. Сгенерируйте секретный ключ: Используйте надежный генератор случайных чисел для создания уникального ключа, который будет использоваться для подписи. Например, в командной строке:

openssl rand -base64 32

1. Создайте HMAC подпись: При отправке вебхука, создайте подпись, используя ваш секретный ключ и данные сообщения. Пример на Python:

import hmac
import hashlib

def create_hmac_signature(secret, data):
    return hmac.new(secret.encode(), data.encode(), hashlib.sha256).hexdigest()

1. Отправьте вебхук: Включите HMAC подпись в заголовок вашего HTTP-запроса. Пример:

import requests

url = 'https://example.com/webhook'
data = '{"event":"order_created"}'
secret = 'ваш_секретный_ключ'
sig = create_hmac_signature(secret, data)
headers = {'X-Hub-Signature': sig}

response = requests.post(url, data=data, headers=headers)

Таким образом, получатель сможет проверить подпись, используя тот же секретный ключ.

При получении вебхука, важно проверить HMAC подпись, чтобы удостовериться в подлинности сообщения. Вот как это можно сделать:

1. Извлеките HMAC подпись из заголовка: Получите значение, отправленное в заголовке, например, X-Hub-Signature.

received_signature = request.headers.get('X-Hub-Signature')

1. Создайте HMAC подпись с теми же данными: Используйте тот же секретный ключ и данные, которые были отправлены в вебхуке, для создания новой подписи.

calculated_signature = create_hmac_signature(secret, request.data.decode())

1. Сравните подписи: Проверьте, совпадают ли полученная и вычисленная подписи. Если они совпадают, данные подлинны.

if hmac.compare_digest(received_signature, calculated_signature):
    print('Подпись верна, сообщение подлинно')
else:
    print('Подпись неверна, возможно подделка')

Использование hmac.compare_digest важно для предотвращения атак на время, так как оно сравнивает строки безопасным способом.