WebhooksVerificar firma

Verificar firma

HMAC-SHA256 del cuerpo crudo con el signing_secret.

Contenido oficial AivyroAlineado con el contrato público actual

Header	Significado
X-Aivyro-Signature	sha256= + hex HMAC-SHA256 del cuerpo crudo
X-Aivyro-Timestamp	ISO en el sobre
X-Aivyro-Nonce	Único por entrega
X-Aivyro-Public-Event	Nombre público (contact.created)

Usa event.public_type (o X-Aivyro-Public-Event) como nombre público. event.type es interno. Rota con POST /api/v1/webhooks/{id}/rotate_secret. El nuevo secret aparece una vez. Las firmas antiguas fallan.

verify.ts

import { createHmac, timingSafeEqual } from 'node:crypto';

function verify(rawBody, signatureHeader, secret) {
  const got = signatureHeader.startsWith('sha256=')
    ? signatureHeader.slice(7)
    : signatureHeader;
  const expected = createHmac('sha256', secret).update(rawBody).digest('hex');
  return timingSafeEqual(Buffer.from(got, 'hex'), Buffer.from(expected, 'hex'));
}