Vérifier la signature d’un webhook

Chaque appel porte l’en-tête Zean-Signature, calculé avec le secret de signature de l’App. Votre serveur le vérifie avant de traiter l’événement : il est ainsi sûr que l’appel vient bien de Zean.

Ce que votre serveur vérifie

• La signature : votre serveur la recalcule avec le secret de signature et la compare à celle de l’en-tête. Si elles diffèrent, il refuse l’appel.
• L’heure d’envoi : un appel envoyé il y a plus de 5 minutes est refusé, pour qu’un ancien appel ne puisse pas être rejoué.
• Le contenu tel qu’il est arrivé : le calcul porte sur le corps brut de la requête, avant tout décodage JSON.

En développement, les appels que la CLI Zean transmet sont signés avec le secret d’écoute, que la commande affiche au démarrage : votre serveur de développement l’utilise à la place du secret de signature. Voir Tester votre webhook sur votre ordinateur.

Le calcul et le code de vérification en Node.js, PHP et Python : Documentation > Signature des webhooks.

Le secret de signature se trouve dans Paramètres de l’App > Développeurs > Webhook. Après l’avoir régénéré, mettez à jour votre serveur tout de suite : les appels suivants, nouveaux essais compris, sont signés avec le nouveau secret.