Webhooks

import { Webhook } from "standardwebhooks";

// whsec_… guardado em uma variável de ambiente
const wh = new Webhook(process.env.WEBHOOK_SECRET);

// rawBody = o corpo cru do request (string), NÃO o objeto já parseado
const payload = wh.verify(rawBody, {
  "webhook-id": req.headers["webhook-id"],
  "webhook-timestamp": req.headers["webhook-timestamp"],
  "webhook-signature": req.headers["webhook-signature"],
});
// Se a assinatura não validar, verify() lança — responda 400 e não processe.

import os
from standardwebhooks import Webhook

wh = Webhook(os.environ["WEBHOOK_SECRET"])

# raw_body = o corpo cru do request (bytes/str), NÃO o dict já parseado
payload = wh.verify(raw_body, {
    "webhook-id": headers["webhook-id"],
    "webhook-timestamp": headers["webhook-timestamp"],
    "webhook-signature": headers["webhook-signature"],
})
# Se a assinatura não validar, verify() lança — responda 400 e não processe.

import crypto from "crypto";

function verifyWebhook(rawBody, headers, secret) {
  const id = headers["webhook-id"];
  const ts = headers["webhook-timestamp"];

  // Rejeita replays fora de ±5 min (o webhook-timestamp faz parte da assinatura).
  if (Math.abs(Math.floor(Date.now() / 1000) - Number(ts)) > 300) return false;

  const signedContent = `${id}.${ts}.${rawBody}`;

  const key = Buffer.from(secret.replace(/^whsec_/, ""), "base64");
  const expected = crypto.createHmac("sha256", key).update(signedContent).digest("base64");

  // O header pode trazer várias assinaturas (rotação), separadas por espaço.
  const received = headers["webhook-signature"]
    .split(" ")
    .map((s) => s.replace(/^v1,/, ""));

  return received.some((sig) => {
    const a = Buffer.from(sig);
    const b = Buffer.from(expected);
    return a.length === b.length && crypto.timingSafeEqual(a, b);
  });
}

import base64, hashlib, hmac, time

def verify_webhook(raw_body: str, headers: dict, secret: str) -> bool:
    # Rejeita replays fora de ±5 min (o webhook-timestamp faz parte da assinatura).
    if abs(int(time.time()) - int(headers["webhook-timestamp"])) > 300:
        return False

    signed_content = f'{headers["webhook-id"]}.{headers["webhook-timestamp"]}.{raw_body}'

    key = base64.b64decode(secret.removeprefix("whsec_"))
    expected = base64.b64encode(
        hmac.new(key, signed_content.encode(), hashlib.sha256).digest()
    ).decode()

    # O header pode trazer várias assinaturas (rotação), separadas por espaço.
    received = [s.removeprefix("v1,") for s in headers["webhook-signature"].split(" ")]
    return any(hmac.compare_digest(sig, expected) for sig in received)