Перевірка підписів вебхуків
Налаштування
Що таке Webhook Signature Verifier?
Webhook Signature Verifier допомагає перевірити, чи був webhook payload підписаний правильним secret.
Це корисно під час дебагу Stripe, GitHub, Slack або власних webhook-інтеграцій, які використовують HMAC-підпис.
Як користуватися Webhook Signature Verifier
- Встав webhook payload.
- Встав secret, який використовує провайдер.
- Встав переданий підпис або повне значення signature header.
- Обери алгоритм і кодування, потім натисни «Перевірити підпис».
Поради
- Payload має точно збігатися з raw body, який надіслав провайдер.
- Деякі провайдери додають префікси на кшталт sha256= або v1=.
- Якщо перевірка не проходить, перевір пробіли, переноси рядків і кодування.
- Використовуй саме той алгоритм, який очікує твій провайдер.
Перевірки підпису webhook перед довірою до події
Перевіряйте автентичність до обробки події як довіреної та застосовуйте правила провайдера до незміненого тіла запиту.
Збережіть raw body
Отримайте точні байти запиту до того, як JSON-парсер, форматування, перетворення переносів або middleware змінять підписані дані.
Розберіть заголовок підпису
Враховуйте правила провайдера щодо версії, timestamp, ID ключа, кодування і кількох підписів замість порівняння всього заголовка як одного дайджесту.
Обмежте повторне відтворення
Перевіряйте підписаний timestamp у короткому часовому вікні та зберігайте ID подій, якщо провайдер підтримує виявлення дублікатів.
Безпечна відповідь
Не обробляйте подію з невалідним підписом, не логуйте секрети чи чутливе тіло повністю та зробіть валідні обробники ідемпотентними.
Пов’язані інструменти
Можливо, тобі також стануть у пригоді ці інструменти.