WebhooksVerificar assinatura

Verificar assinatura

HMAC-SHA256 do corpo cru com o signing_secret.

Conteúdo oficial AivyroAlinhado ao contrato público atual

Header	Significado
X-Aivyro-Signature	sha256= + hex HMAC-SHA256 do corpo cru
X-Aivyro-Timestamp	ISO no envelope
X-Aivyro-Nonce	Único por entrega
X-Aivyro-Public-Event	Nome público (contact.created)

Use event.public_type (ou X-Aivyro-Public-Event) como nome público. event.type é interno. Rotate com POST /api/v1/webhooks/{id}/rotate_secret. O novo secret aparece uma vez. Assinaturas antigas falham.

verify.ts

import { createHmac, timingSafeEqual } from 'node:crypto';

function verify(rawBody, signatureHeader, secret) {
  const got = signatureHeader.startsWith('sha256=')
    ? signatureHeader.slice(7)
    : signatureHeader;
  const expected = createHmac('sha256', secret).update(rawBody).digest('hex');
  return timingSafeEqual(Buffer.from(got, 'hex'), Buffer.from(expected, 'hex'));
}