Webhooks

import crypto from 'node:crypto';

function verificar(cuerpoCrudo, cabecera, secreto) {
  const partes = Object.fromEntries((cabecera || '').split(',').map((p) => p.split('=')));
  if (!partes.t || !partes.v1) return false;
  const esperado = Buffer.from(crypto.createHmac('sha256', secreto).update(`${partes.t}.${cuerpoCrudo}`).digest('hex'));
  const recibido = Buffer.from(partes.v1);
  const fresco = Math.abs(Date.now() / 1000 - Number(partes.t)) < 300;
  return fresco && esperado.length === recibido.length && crypto.timingSafeEqual(esperado, recibido);
}

// Express: usa el cuerpo crudo, no el JSON ya parseado.
app.post('/webhooks/wm', express.raw({ type: 'application/json' }), (req, res) => {
  if (!verificar(req.body.toString(), req.header('X-WM-Signature'), process.env.WM_WEBHOOK_SECRET)) {
    return res.status(401).end();
  }
  res.status(200).end(); // responde ya; procesa después
  const evento = JSON.parse(req.body);
  // …
});

import hmac, hashlib, time

def verificar(cuerpo_crudo: bytes, cabecera: str, secreto: str) -> bool:
    partes = dict(p.split("=", 1) for p in (cabecera or "").split(",") if "=" in p)
    if "t" not in partes or "v1" not in partes:
        return False
    esperado = hmac.new(secreto.encode(), f"{partes['t']}.".encode() + cuerpo_crudo, hashlib.sha256).hexdigest()
    fresco = abs(time.time() - int(partes["t"])) < 300
    return fresco and hmac.compare_digest(esperado, partes["v1"])

<?php
function verificar(string $cuerpoCrudo, string $cabecera, string $secreto): bool {
  parse_str(str_replace(',', '&', (string) $cabecera), $partes);
  if (empty($partes['t']) || empty($partes['v1'])) return false;
  $esperado = hash_hmac('sha256', $partes['t'] . '.' . $cuerpoCrudo, $secreto);
  $fresco = abs(time() - (int) $partes['t']) < 300;
  return $fresco && hash_equals($esperado, $partes['v1']);
}