Vérifier la signature d’un webhook
S’assurer qu’un appel provient bien de Sondagix.
À quoi ça sert
Sécuriser votre récepteur.
Prérequis et forfait
Le secret du webhook (whsec_…).
Étapes
- Lisez l’en-tête X-Sondagix-Signature : t=<horodatage>,v1=<empreinte>.
- Calculez HMAC-SHA256 de la chaîne « t.corps » avec votre secret (le corps tel que reçu, sans le modifier).
- Comparez avec v1 par une comparaison à temps constant, et refusez si l’horodatage a plus de 5 minutes.
- Utilisez X-Sondagix-Delivery (identifiant unique) pour ignorer un doublon.
Résultat attendu
Seuls les appels authentiques sont traités.
Astuces
- L’en-tête X-Sondagix-Event contient le nom de l’événement.
- Un exemple PHP est disponible dans « Intégrations ».
Problèmes fréquents
- Ma signature ne correspond pas.
- Vous avez probablement modifié le corps avant le calcul (réencodage JSON) ou utilisé un autre secret.
Pages concernées
Ces pages demandent d’être connecté.