واجهة API لتنبيهات خطاف الويب

نقاط النهاية

تحقق من كل تنبيه

استخدم نص الطلب الخام تمامًا كما وصل. تحتوي الترويسة على توقيع واحد، أو توقيعين أثناء تدوير السر. اقبل الطلب إذا طابق أي توقيع.

import crypto from 'node:crypto';

// rawBody: the request body exactly as received, before JSON parsing.
function verifyDomScanWebhook(rawBody, headers, secret) {
  const timestamp = headers['x-domscan-timestamp'];
  const header = headers['x-domscan-signature'] || '';
  if (!/^\d{10}$/.test(timestamp || '')) return false;
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) return false;
  const expected = Buffer.from('sha256=' + crypto
    .createHmac('sha256', secret)
    .update(timestamp + '.' + rawBody)
    .digest('hex'));
  // One entry normally; two during a secret rotation (new secret first).
  return header.split(',').some((entry) => {
    const candidate = Buffer.from(entry.trim());
    return candidate.length === expected.length &&
      crypto.timingSafeEqual(candidate, expected);
  });
}

دوّر الأسرار مع فترة سماح مدتها 24 ساعة

يعيد التدوير سرًا جديدًا مرة واحدة. حتى تنتهي فترة السماح يُوقَّع كل تنبيه بالسر الجديد أولًا ثم بالسر السابق، فتستمر المستقبِلات التي ما زالت تستخدم السر القديم في العمل.

X-DomScan-Signature: sha256=<new>,sha256=<previous>

رموز حالة HTTP

هذه هي رموز حالة HTTP التي ينبغي التعامل معها، لتتمكن من التمييز بين الاستجابات الناجحة ومشكلات المصادقة والأرصدة وحدود المعدل والبيانات المفقودة وأعطال المصدر.