API alertów webhook

Punkty końcowe

Weryfikuj każdy alert

Używaj surowej treści żądania dokładnie w takiej postaci, w jakiej została odebrana. Nagłówek zawiera jeden podpis, a podczas rotacji sekretu dwa. Przyjmij żądanie, gdy którykolwiek podpis pasuje.

import crypto from 'node:crypto';

// rawBody: the request body exactly as received, before JSON parsing.
function verifyDomScanWebhook(rawBody, headers, secret) {
  const timestamp = headers['x-domscan-timestamp'];
  const header = headers['x-domscan-signature'] || '';
  if (!/^\d{10}$/.test(timestamp || '')) return false;
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) return false;
  const expected = Buffer.from('sha256=' + crypto
    .createHmac('sha256', secret)
    .update(timestamp + '.' + rawBody)
    .digest('hex'));
  // One entry normally; two during a secret rotation (new secret first).
  return header.split(',').some((entry) => {
    const candidate = Buffer.from(entry.trim());
    return candidate.length === expected.length &&
      crypto.timingSafeEqual(candidate, expected);
  });
}

Zmieniaj sekrety z 24-godzinnym okresem przejściowym

Rotacja zwraca nowy sekret jeden raz. Do końca okresu przejściowego każdy alert jest podpisywany najpierw nowym, a potem poprzednim sekretem, więc odbiorcy, którzy nadal używają starego sekretu, działają bez zmian.

X-DomScan-Signature: sha256=<new>,sha256=<previous>

Kody statusu HTTP

Oto kody statusu HTTP, które należy obsługiwać, aby odróżnić udane odpowiedzi, problemy z uwierzytelnianiem, kredyty, limity żądań, brakujące dane i błędy usług nadrzędnych.