Webhooks

# Recalculer une signature à la main, pour vérifier votre code :
printf '%s.%s.%s' "$HORODATAGE" "$ID_EVENEMENT" "$CORPS_BRUT" \
  | openssl dgst -sha256 -hmac "$MONCASHAPI_WEBHOOK_SECRET"
# Le résultat doit être égal à la valeur qui suit « v1= » dans X-MoncashAPI-Signature.

// Web Crypto : fonctionne dans les fonctions « edge », Deno, Bun et Node 18+.
export async function verifier(request, secret) {
  const corps = await request.text(); // le corps BRUT, avant tout JSON.parse
  const horodatage = request.headers.get("X-MoncashAPI-Timestamp") ?? "";
  const evenement = request.headers.get("X-MoncashAPI-Event-ID") ?? "";
  const recues = (request.headers.get("X-MoncashAPI-Signature") ?? "")
    .split(",").map((s) => s.trim().replace(/^v1=/, ""));

  const cle = await crypto.subtle.importKey(
    "raw", new TextEncoder().encode(secret), { name: "HMAC", hash: "SHA-256" }, false, ["sign"]);
  const octets = await crypto.subtle.sign(
    "HMAC", cle, new TextEncoder().encode(`${horodatage}.${evenement}.${corps}`));
  const attendue = [...new Uint8Array(octets)].map((o) => o.toString(16).padStart(2, "0")).join("");

  const recent = Math.abs(Date.now() / 1000 - Number(horodatage)) < 300;
  if (!recent || !recues.includes(attendue)) return null;
  return JSON.parse(corps);
}

import crypto from "node:crypto";
import express from "express";

const app = express();

// express.raw : la signature porte sur les octets reçus, pas sur un JSON re-sérialisé.
app.post("/webhooks/moncashapi", express.raw({ type: "application/json" }), (req, res) => {
  const corps = req.body.toString("utf8");
  const horodatage = req.get("X-MoncashAPI-Timestamp") ?? "";
  const evenement = req.get("X-MoncashAPI-Event-ID") ?? "";
  const recues = (req.get("X-MoncashAPI-Signature") ?? "")
    .split(",").map((s) => s.trim().replace(/^v1=/, ""));

  const attendue = crypto
    .createHmac("sha256", process.env.MONCASHAPI_WEBHOOK_SECRET)
    .update(`${horodatage}.${evenement}.${corps}`)
    .digest("hex");

  const valide = recues.some((s) =>
    s.length === attendue.length && crypto.timingSafeEqual(Buffer.from(s), Buffer.from(attendue)));
  const recent = Math.abs(Date.now() / 1000 - Number(horodatage)) < 300;
  if (!valide || !recent) return res.sendStatus(401);

  const message = JSON.parse(corps);
  // Un même événement peut arriver deux fois : ignorez un message.id déjà traité.
  if (message.type === "payment.succeeded") {
    const paiement = message.data.object;
    // paiement.reference est votre numéro de commande : marquez-la payée.
  }
  res.sendStatus(200);
});

<?php
$corps = file_get_contents("php://input"); // le corps BRUT
$horodatage = $_SERVER["HTTP_X_MONCASHAPI_TIMESTAMP"] ?? "";
$evenement = $_SERVER["HTTP_X_MONCASHAPI_EVENT_ID"] ?? "";
$recues = array_map(
    fn($s) => preg_replace('/^v1=/', '', trim($s)),
    explode(",", $_SERVER["HTTP_X_MONCASHAPI_SIGNATURE"] ?? "")
);

$attendue = hash_hmac("sha256", "$horodatage.$evenement.$corps", getenv("MONCASHAPI_WEBHOOK_SECRET"));
$valide = false;
foreach ($recues as $s) {
    if (hash_equals($attendue, $s)) { $valide = true; }
}
if (!$valide || abs(time() - (int) $horodatage) > 300) {
    http_response_code(401);
    exit;
}

$message = json_decode($corps, true);
// Un même événement peut arriver deux fois : ignorez un $message["id"] déjà traité.
if ($message["type"] === "payment.succeeded") {
    $paiement = $message["data"]["object"];
    // $paiement["reference"] est votre numéro de commande : marquez-la payée.
}
http_response_code(200);

import hashlib
import hmac
import os
import time

from flask import Flask, request

app = Flask(__name__)


@app.post("/webhooks/moncashapi")
def webhook():
    corps = request.get_data()  # le corps BRUT
    horodatage = request.headers.get("X-MoncashAPI-Timestamp", "")
    evenement = request.headers.get("X-MoncashAPI-Event-ID", "")
    recues = [s.strip().removeprefix("v1=")
              for s in request.headers.get("X-MoncashAPI-Signature", "").split(",")]

    attendue = hmac.new(
        os.environ["MONCASHAPI_WEBHOOK_SECRET"].encode(),
        f"{horodatage}.{evenement}.".encode() + corps,
        hashlib.sha256,
    ).hexdigest()

    valide = any(hmac.compare_digest(attendue, s) for s in recues)
    recent = horodatage.isdigit() and abs(time.time() - int(horodatage)) < 300
    if not (valide and recent):
        return "", 401

    message = request.get_json()
    # Un même événement peut arriver deux fois : ignorez un message["id"] déjà traité.
    if message["type"] == "payment.succeeded":
        paiement = message["data"]["object"]
        # paiement["reference"] est votre numéro de commande : marquez-la payée.
    return "", 200