Webhook'lar

{webhook-id}.{webhook-timestamp}.{ham gövde}

import crypto from 'node:crypto';

function verify(headers, rawBody, secret) {
  const id = headers['webhook-id'];
  const ts = headers['webhook-timestamp'];
  const sig = headers['webhook-signature'];

  // Eski bir isteğin tekrar oynatılmasını engelle.
  if (Math.abs(Date.now() / 1000 - Number(ts)) > 300) return false;

  const expected = crypto
    .createHmac('sha256', Buffer.from(secret, 'base64'))
    .update(`${id}.${ts}.${rawBody}`)
    .digest('base64');

  // Sabit zamanlı karşılaştırma: normal eşitlik sızıntı yapar.
  return sig
    .split(' ')
    .some(part => crypto.timingSafeEqual(
      Buffer.from(part.replace(/^v1,/, '')),
      Buffer.from(expected),
    ));
}