ReOTP.
Sicurezza e Sincronizzazione/Webhook e HMAC
1 min di lettura

Webhook e HMAC

Scopri come ricevere notifiche istantanee e sicure quando un numero di telefono viene verificato.

I Webhook sono il modo più veloce e sicuro per sapere che l'utente ha verificato con successo senza la necessità di eseguire SSE (Server-Sent Events) (controllo continuo).

Quando l'utente invia il messaggio e viene abbinato con successo, il nostro sistema invia una richiesta POST a un URL che configuri in anticipo nelle impostazioni del progetto.

Sicurezza dei Webhook (Firma HMAC)

Per garantire che le richieste provengano effettivamente dai nostri server e non siano attacchi simulati, firmiamo ogni richiesta utilizzando l'algoritmo HMAC-SHA256.

1. Vai alle impostazioni del progetto e genera un Webhook Secret.

2. Verrà allegata una firma crittografata nell'intestazione della richiesta (Header) denominata x-webhook-signature.

3. Devi calcolare la firma sul tuo server utilizzando il tuo stesso Secret e confrontarla con la firma inviata.

Codice di integrazione (SDK)
const express = require('express');
const crypto = require('crypto');
const app = express();

const WEBHOOK_SECRET = process.env.REOTP_WEBHOOK_SECRET;
app.use(express.json());

app.post('/webhook/reotp', (req, res) => {
  const signatureHeader = req.headers['x-webhook-signature'];
  const payloadString = JSON.stringify(req.body);

  const expectedSignature = crypto
    .createHmac('sha256', WEBHOOK_SECRET)
    .update(payloadString)
    .digest('hex');

  if (signatureHeader !== expectedSignature) {
    return res.status(401).send('Invalid signature');
  }

  const { event, phoneNumber, requestId } = req.body;
  if (event === 'verification.success') {
    console.log(`User ${phoneNumber} verified! (ID: ${requestId})`);
  }

  res.status(200).send('OK');
});

app.listen(3000, () => console.log('Listening for Webhooks...'));
Articolo successivoIntroduzione a ReOTP