Podpisy webhooków HMAC (2026):timestamp, replay, surowe body

TL;DR

• webhook hmac signature verification 2026
• Dla backendów przyjmujących webhooki od płatności, CI i integracji partnerskich.

Dla kogo to jest

• Dla backendów przyjmujących webhooki od płatności, CI i integracji partnerskich.

Fraza (SEO)

webhook hmac signature verification 2026

Algorytm

• Czytaj raw body przed parse JSON — inaczej podpis się nie zgadza.
• HMAC-SHA256(secret, payload) lub schemat dostawcy.
• Porównanie constant-time (crypto.timingSafeEqual).

Replay

• Nagłówek timestamp od dostawcy + okno np. 5 min.
• Przechowuj event_id z TTL aby odrzucić duplikaty.

Typowe błędy

• Czytaj raw body przed parse JSON — inaczej podpis się nie zgadza.
• HMAC-SHA256(secret, payload) lub schemat dostawcy.

FAQ

401 vs 400 przy złym podpisie?

Często 400/401 bez szczegółów — nie ujawniaj formatu walidacji atakującym.

Chcesz wdrożyć to z zespołem?

• Skontaktuj się