HMAC

Poskytovatel v tomto zjednodušeném příkladu podepisuje řetězec timestamp.rawBody algoritmem HMAC-SHA-256 a výsledek posílá hexadecimálně v hlavičce. Reálný endpoint musí použít přesné hlavičky, oddělovač, encoding i pravidla poskytovatele.

Tajemství přichází z bezpečné konfigurace. Po ověření následuje uložení ID události s unikátním omezením; samotný HMAC nebrání druhému doručení stejné platné zprávy.

$rawBody = $request->getContent();
$timestamp = (string) $request->headers->get('X-Webhook-Timestamp', '');
$providedSignature = (string) $request->headers->get('X-Webhook-Signature', '');

if (!preg_match('/^\d+\z/', $timestamp) || abs(time() - (int) $timestamp) > 300) {
    throw new AccessDeniedHttpException('Neplatný webhook.');
}

// Podoba vstupu musí přesně odpovídat dokumentaci poskytovatele.
$signingInput = $timestamp . '.' . $rawBody;
$expectedSignature = hash_hmac('sha256', $signingInput, $webhookSecret);

if (!hash_equals($expectedSignature, $providedSignature)) {
    throw new AccessDeniedHttpException('Neplatný webhook.');
}