Webhook signing
Webhook signing — механизм, при котором sender добавляет HMAC-подпись payload в HTTP header, receiver проверяет подпись по shared secret. Без signing любой, кто знает webhook URL, может отправить fake events. Стандартный pattern: HMAC-SHA256(secret, timestamp + body) → header X-Hub-Signature-256. Используется в Stripe, GitHub, Telegram, YooKassa, Slack.
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- HMAC algorithm: SHA-256 (стандарт). SHA-1 deprecated
- Payload: обычно включает timestamp для replay protection
- Header name: не унифицировано — X-Signature, X-Hub-Signature-256, Stripe-Signature
- Timing-safe comparison:
hash_equals()в PHP,crypto.timingSafeEqual()в Node - Secret rotation: provider даёт grace period — валидны 2 secrets одновременно
Пример
// PHP verification
$expected = hash_hmac("sha256", $body, $secret);
$actual = $_SERVER["HTTP_X_SIGNATURE_256"];
if (!hash_equals($expected, $actual)) return 401;Смежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Почему HMAC а не просто shared secret в header?
Secret в header = посланный в plain. HMAC подписывает body, secret не передаётся по сети.
Replay attack защита?
Timestamp + nonce в payload. Receiver проверяет что timestamp свежий (5 min window) и nonce не использован.
Какие providers используют?
Stripe (Stripe-Signature), GitHub (X-Hub-Signature-256), Slack (X-Slack-Signature), Telegram (X-Telegram-Bot-Api-Secret-Token), YooKassa.