TL;DR
- webhook hmac signature verification 2026
- Dla backendów przyjmujących webhooki od płatności, CI i integracji partnerskich.
Dla kogo to jest
- Dla backendów przyjmujących webhooki od płatności, CI i integracji partnerskich.
Fraza (SEO)
webhook hmac signature verification 2026
Algorytm
- Czytaj raw body przed parse JSON — inaczej podpis się nie zgadza.
- HMAC-SHA256(secret, payload) lub schemat dostawcy.
- Porównanie constant-time (crypto.timingSafeEqual).
Replay
- Nagłówek timestamp od dostawcy + okno np. 5 min.
- Przechowuj event_id z TTL aby odrzucić duplikaty.
Typowe błędy
- Czytaj raw body przed parse JSON — inaczej podpis się nie zgadza.
- HMAC-SHA256(secret, payload) lub schemat dostawcy.
FAQ
401 vs 400 przy złym podpisie?
Często 400/401 bez szczegółów — nie ujawniaj formatu walidacji atakującym.