Verify webhook signature

Jak bezpiecznie weryfikowac webhooki w 4 jezykach z timing-safe comparison.

Kiedy tego uzyc

Uzyj tego przepisu, gdy chcesz: Zweryfikowac DL-Status-Signature zanim sparsujesz JSON i uruchomisz logike biznesowa.

Endpoint referencyjny: POST /webhooks/your-endpoint.

Implementacja

Node.js

import { DarhimLabs } from "@darhimlabs/node";

const client = new DarhimLabs(process.env.DARHIMLABS_API_KEY!);
const verified = client.webhooks.verifySignature({ payload: rawBody, signatureHeader, secret });

Python

import os
from darhimlabs import DarhimLabs

client = DarhimLabs(api_key=os.environ["DARHIMLABS_API_KEY"])
event = client.webhooks.verify_signature(payload=raw_body, signature_header=signature, secret=secret)

PHP

<?php

$client = new DarhimLabs\Client(["api_key" => $_ENV["DARHIMLABS_API_KEY"]]);
$event = $client->webhooks->verifySignature(['payload' => $rawBody, 'signatureHeader' => $signature, 'secret' => $secret]);

Ruby

client = DarhimLabs::Client.new(api_key: ENV["DARHIMLABS_API_KEY"])
event = client.webhooks.verify_signature(payload: raw_body, signature_header: signature, secret: secret)

Test it

Wykonaj request w sandboxie z kluczem dl_test_....
Sprawdz X-Request-ID w odpowiedzi.
Dla webhookow uzyj Webhook Playground, zeby zobaczyc payload live.

Common pitfalls

Nie parsuj JSON przed weryfikacja. Signature liczymy nad raw body.
Loguj request_id i event_id, zeby support mogl odtworzyc problem.
Dla mutacji dodawaj Idempotency-Key, szczegolnie jesli request moze byc retryowany.

Production checklist

Dodaj retry z exponential backoff i jitterem.
Ogranicz scopes API key do minimalnego zestawu.
Monitoruj rate limit headers i latency P95.
Przetestuj bledy 401, 409, 422 i 429.