Vérifier les signatures

Vérifier les signatures des webhooks est essentiel pour la sécurité. Cela garantit que le webhook provient bien de storekit et qu’il n’a pas été altéré.

Pourquoi vérifier ?

Puisque votre endpoint webhook est accessible publiquement, n’importe qui pourrait lui envoyer des requêtes en se faisant passer pour storekit. La vérification de signature empêche :

Les requêtes falsifiées : des attaquants envoyant de faux webhooks
Les attaques par rejeu : d’anciens webhooks renvoyés de manière malveillante
L’altération des données : la modification des payloads webhook en transit

Utiliser les bibliothèques Svix (recommandé)

Nous recommandons d’utiliser les bibliothèques officielles Svix pour la vérification, qui gèrent toute la complexité pour vous :

import { Webhook } from 'svix';

const wh = new Webhook(process.env.WEBHOOK_SECRET);

try {
  const payload = wh.verify(rawBody, headers);
  // Process the verified payload
} catch (err) {
  // Signature verification failed
  return res.status(400).send('Invalid signature');
}

from svix.webhooks import Webhook

wh = Webhook(os.environ['WEBHOOK_SECRET'])

try:
    payload = wh.verify(raw_body, headers)
    # Process the verified payload
except Exception as e:
    # Signature verification failed
    return Response(status=400)

import svix "github.com/svix/svix-webhooks/go"

wh, _ := svix.NewWebhook(os.Getenv("WEBHOOK_SECRET"))

err := wh.Verify([]byte(rawBody), headers)
if err != nil {
    // Signature verification failed
    return
}

Utilisez toujours le corps brut de la requête pour la vérification. Si vous parsez d’abord le JSON puis le stringifiez à nouveau, la signature ne correspondra pas en raison de différences de formatage potentielles.

Vérification manuelle

Si vous préférez vérifier les signatures manuellement sans utiliser la bibliothèque Svix, suivez les étapes ci-dessous.

En-têtes de signature

Chaque webhook inclut les en-têtes suivants pour la vérification :

En-tête	Description
`svix-id`	Identifiant unique du message
`svix-timestamp`	Horodatage Unix de l’envoi du message
`svix-signature`	La (les) signature(s) à vérifier

Étapes de vérification

1. Extraire les en-têtes

const svixId = request.headers['svix-id'];
const svixTimestamp = request.headers['svix-timestamp'];
const svixSignature = request.headers['svix-signature'];

2. Vérifier l’horodatage (empêcher les attaques par rejeu)

Rejetez les webhooks dont l’horodatage est plus ancien que 5 minutes :

const tolerance = 5 * 60; // 5 minutes in seconds
const now = Math.floor(Date.now() / 1000);
const timestamp = parseInt(svixTimestamp, 10);

if (Math.abs(now - timestamp) > tolerance) {
  throw new Error('Webhook timestamp too old');
}

3. Créer le contenu signé

Concaténez l’ID du webhook, l’horodatage et le corps :

const signedContent = `${svixId}.${svixTimestamp}.${rawBody}`;

4. Calculer la signature attendue

Utilisez HMAC-SHA256 avec votre secret webhook :

const crypto = require('crypto');

// Your secret from the dashboard (remove the 'whsec_' prefix)
const secret = Buffer.from(secretKey.split('_')[1], 'base64');

const expectedSignature = crypto
  .createHmac('sha256', secret)
  .update(signedContent)
  .digest('base64');

5. Comparer les signatures

const signatures = svixSignature.split(' ');
const isValid = signatures.some(sig => {
  const [version, signature] = sig.split(',');
  return version === 'v1' && signature === expectedSignature;
});

if (!isValid) {
  throw new Error('Invalid webhook signature');
}

Developers

Guides

Webhooks

Vérifier les signatures

Pourquoi vérifier ?

Utiliser les bibliothèques Svix (recommandé)

Vérification manuelle

En-têtes de signature

Étapes de vérification

1. Extraire les en-têtes

2. Vérifier l’horodatage (empêcher les attaques par rejeu)

3. Créer le contenu signé

4. Calculer la signature attendue

5. Comparer les signatures

​Pourquoi vérifier ?

​Utiliser les bibliothèques Svix (recommandé)

​Vérification manuelle

​En-têtes de signature

​Étapes de vérification

​1. Extraire les en-têtes

​2. Vérifier l’horodatage (empêcher les attaques par rejeu)

​3. Créer le contenu signé

​4. Calculer la signature attendue

​5. Comparer les signatures

Pourquoi vérifier ?

Utiliser les bibliothèques Svix (recommandé)

Vérification manuelle

En-têtes de signature

Étapes de vérification

1. Extraire les en-têtes

2. Vérifier l’horodatage (empêcher les attaques par rejeu)

3. Créer le contenu signé

4. Calculer la signature attendue

5. Comparer les signatures