Vérifier la signature - Resocom

Chaque requête porte l’en-tête :

X-Resocom-Signature: t=<horodatage unix>,v1=<hmac sha256 hexadécimal>

La signature couvre la chaîne "<t>.<corps brut>", calculée en HMAC-SHA256 avec votre clé whsec_. Rejetez toute requête dont :

la signature ne correspond pas au corps brut reçu (avant tout parsing) ;
l’horodatage t s’écarte de plus de 5 minutes de l’heure courante (anti-rejeu).

Node.js

import { createHmac, timingSafeEqual } from "node:crypto";

// rawBody = corps BRUT de la requête (avant tout parsing JSON)
function verifierSignature(secret, header, rawBody) {
  const match = /^t=(\d+),v1=([0-9a-f]{64})$/.exec(header ?? "");
  if (!match) return false;
  const [, t, v1] = match;
  if (Math.abs(Date.now() / 1000 - Number(t)) > 300) return false;
  const attendu = createHmac("sha256", secret)
    .update(`${t}.${rawBody}`)
    .digest("hex");
  return timingSafeEqual(Buffer.from(attendu, "hex"), Buffer.from(v1, "hex"));
}

Vérification manuelle

# t et corps extraits de la requête reçue
echo -n "${T}.${CORPS_BRUT}" | openssl dgst -sha256 -hmac "${CLE_SIGNATURE}"

Pièges classiques

Corps brut obligatoire : un JSON re-sérialisé après parsing ne produira jamais la même signature (ordre des clés, espaces).
Utilisez une comparaison à temps constant (timingSafeEqual), jamais ===.
Après une régénération de clé, les livraisons en cours de reprise sont signées avec la nouvelle clé à la tentative suivante.