احصل على الاتفاقية
موقعة اليوم.

التحقق من webhook. المخطط الحقيقي وليس نموذج بالحجم الطبيعي.

import crypto from 'node:crypto';

// Header: X-Endorsed-Signature: t={unix_seconds},v1={hex_hmac_sha256}
function verify(rawBody, header, secret) {
  const [t, v1] = header.split(',').map((p) => p.split('=')[1]);

  const expected = crypto
    .createHmac('sha256', secret)
    .update(`${t}.${rawBody}`)
    .digest('hex');

  const fresh = Math.abs(Date.now() / 1000 - Number(t)) <= 300;
  const a = Buffer.from(v1, 'hex');
  const b = Buffer.from(expected, 'hex');

  return fresh && a.length === b.length && crypto.timingSafeEqual(a, b);
}

HMAC-SHA256 فوق "{timestamp}.{body}"، نافذة إعادة مدتها خمس دقائق، وست محاولات تسليم - 60 ثانية، 5 دقائق، 15 دقيقة، ساعة واحدة، 6 ساعات - قبل أن ننتهي من الرسالة بدلاً من إسقاطها بصمت.