Signaturen verifiëren

Het verifiëren van webhook-signaturen is essentieel voor de beveiliging. Zo weet je zeker dat de webhook echt van storekit komt en niet is gemanipuleerd.

Waarom verifiëren?

Omdat je webhook-endpoint publiek toegankelijk is, kan iedereen verzoeken sturen en zich voordoen als storekit. Signatuurverificatie voorkomt:

Vervalste verzoeken: Aanvallers die valse webhooks versturen
Replay-aanvallen: Oude webhooks die kwaadwillig opnieuw worden verstuurd
Datamanipulatie: Wijzigingen aan webhook-payloads onderweg

Svix-bibliotheken gebruiken (aanbevolen)

We raden aan om voor verificatie de officiële Svix-bibliotheken te gebruiken; die nemen alle complexiteit voor je uit handen:

import { Webhook } from 'svix';

const wh = new Webhook(process.env.WEBHOOK_SECRET);

try {
  const payload = wh.verify(rawBody, headers);
  // Process the verified payload
} catch (err) {
  // Signature verification failed
  return res.status(400).send('Invalid signature');
}

from svix.webhooks import Webhook

wh = Webhook(os.environ['WEBHOOK_SECRET'])

try:
    payload = wh.verify(raw_body, headers)
    # Process the verified payload
except Exception as e:
    # Signature verification failed
    return Response(status=400)

import svix "github.com/svix/svix-webhooks/go"

wh, _ := svix.NewWebhook(os.Getenv("WEBHOOK_SECRET"))

err := wh.Verify([]byte(rawBody), headers)
if err != nil {
    // Signature verification failed
    return
}

Gebruik voor verificatie altijd de ruwe request-body. Als je de JSON eerst parseert en daarna weer stringifyt, komt de signatuur niet overeen door mogelijke formatteringsverschillen.

Handmatige verificatie

Als je liever handmatig signaturen verifieert zonder de Svix-bibliotheek te gebruiken, volg dan de onderstaande stappen.

Signatuur-headers

Elke webhook bevat deze headers voor verificatie:

Header	Beschrijving
`svix-id`	Unieke berichtidentifier
`svix-timestamp`	Unix-timestamp van het moment waarop het bericht is verstuurd
`svix-signature`	De signatuur(en) om tegen te controleren

Verificatiestappen

1. Headers extraheren

const svixId = request.headers['svix-id'];
const svixTimestamp = request.headers['svix-timestamp'];
const svixSignature = request.headers['svix-signature'];

2. Timestamp verifiëren (replay-aanvallen voorkomen)

Weiger webhooks met een timestamp ouder dan 5 minuten:

const tolerance = 5 * 60; // 5 minutes in seconds
const now = Math.floor(Date.now() / 1000);
const timestamp = parseInt(svixTimestamp, 10);

if (Math.abs(now - timestamp) > tolerance) {
  throw new Error('Webhook timestamp too old');
}

3. Ondertekende inhoud opbouwen

Voeg de webhook-ID, timestamp en body samen:

const signedContent = `${svixId}.${svixTimestamp}.${rawBody}`;

4. Verwachte signatuur berekenen

Gebruik HMAC-SHA256 met je webhook-secret:

const crypto = require('crypto');

// Your secret from the dashboard (remove the 'whsec_' prefix)
const secret = Buffer.from(secretKey.split('_')[1], 'base64');

const expectedSignature = crypto
  .createHmac('sha256', secret)
  .update(signedContent)
  .digest('base64');

5. Signaturen vergelijken

const signatures = svixSignature.split(' ');
const isValid = signatures.some(sig => {
  const [version, signature] = sig.split(',');
  return version === 'v1' && signature === expectedSignature;
});

if (!isValid) {
  throw new Error('Invalid webhook signature');
}

Developers

Guides

Webhooks

Signaturen verifiëren

Waarom verifiëren?

Svix-bibliotheken gebruiken (aanbevolen)

Handmatige verificatie

Signatuur-headers

Verificatiestappen

1. Headers extraheren

2. Timestamp verifiëren (replay-aanvallen voorkomen)

3. Ondertekende inhoud opbouwen

4. Verwachte signatuur berekenen

5. Signaturen vergelijken

​Waarom verifiëren?

​Svix-bibliotheken gebruiken (aanbevolen)

​Handmatige verificatie

​Signatuur-headers

​Verificatiestappen

​1. Headers extraheren

​2. Timestamp verifiëren (replay-aanvallen voorkomen)

​3. Ondertekende inhoud opbouwen

​4. Verwachte signatuur berekenen

​5. Signaturen vergelijken

Waarom verifiëren?

Svix-bibliotheken gebruiken (aanbevolen)

Handmatige verificatie

Signatuur-headers

Verificatiestappen

1. Headers extraheren

2. Timestamp verifiëren (replay-aanvallen voorkomen)

3. Ondertekende inhoud opbouwen

4. Verwachte signatuur berekenen

5. Signaturen vergelijken