Mağazanızı kendi sistemlerinize bağlayın

Her webhook isteği üç başlık taşır: webhook-id, webhook-timestamp ve webhook-signature. İmza, sırrınızla kimlik.zaman.gövde metni üzerinden HMAC-SHA256 ile hesaplanır. Sır whsec_ ile başlar, oluşturulurken bir kez gösterilir ve şifreli saklanır. Aşağıdaki örnek Node.js ile doğrulamayı gösterir.

import { createHmac, timingSafeEqual } from 'node:crypto';

// rawBody: istek gövdesi, JSON'a çevrilmeden önceki ham metin
export function verifyWebhook(secret, headers, rawBody) {
  const id = headers['webhook-id'];
  const timestamp = headers['webhook-timestamp'];
  const signatures = headers['webhook-signature'];
  if (!id || !timestamp || !signatures) return false;

  // Tekrar saldırısına karşı zaman toleransı (5 dakika)
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) return false;

  // Sır "whsec_" önekiyle başlar; gerisi base64 kodlu anahtardır
  const key = Buffer.from(secret.replace(/^whsec_/, ''), 'base64');
  const expected = createHmac('sha256', key)
    .update(`${id}.${timestamp}.${rawBody}`)
    .digest();

  // Başlıkta boşlukla ayrılmış "v1,<imza>" girdileri olabilir
  return signatures.split(' ').some((entry) => {
    const [version, signature] = entry.split(',');
    if (version !== 'v1' || !signature) return false;
    const given = Buffer.from(signature, 'base64');
    return given.length === expected.length && timingSafeEqual(given, expected);
  });
}

• Gövdeyi JSON’a çevirmeden, ham metin olarak imzaya verin.
• webhook-id, aynı olayın tüm yeniden denemelerinde aynıdır; işlediğiniz kimlikleri saklayıp tekrarları atlayın.
• 2xx dışındaki her yanıt başarısız sayılır ve yönlendirmeler izlenmez; ağır işi arka plana alıp hızlı yanıt verin.
• Sır döndürüldüğünde başlıkta iki imza gelebilir; örnek hepsini dener.