HMAC-Signatur
Eine HMAC-Signatur ist ein mit einem Schlüssel gebildeter Hash an einem Webhook, der die Anfrage als echt und unverändert ausweist.
Im Detail
Der Header hat hier die Form t=<unix-seconds>,v1=<hex>, wobei der v1-Wert der HMAC-SHA256 aus Zeitstempel, einem Punkt und dem rohen Anfragekörper ist, geschlüsselt mit dem Endpunkt-Secret. Signieren Sie die rohen Bytes vor jedem JSON-Parsing — ein neu serialisierter Körper passt nicht — und vergleichen Sie in konstanter Zeit. Weisen Sie Zeitstempel zurück, die älter als fünf Minuten sind, damit eine mitgeschnittene Zustellung Ihnen später nicht erneut untergeschoben werden kann.
Auch bekannt als
- signed webhook
- request signature