Validação de Assinatura HMAC - Kavro Pay

Todas as notificações de webhook incluem o cabeçalho x-kavropay-signature contendo o hash HMAC-SHA256 do payload bruto assinado com seu segredo exclusivo de webhook (whsec_...).

Exemplo de Validação em Node.js

const crypto = require('crypto');

function verifyWebhookSignature(rawBody, signatureHeader, secret) {
  const hmac = crypto.createHmac('sha256', secret);
  const digest = hmac.update(rawBody).digest('hex');

  return crypto.timingSafeEqual(
    Buffer.from(signatureHeader),
    Buffer.from(digest)
  );
}

Exemplo de Validação em Python

import hmac
import hashlib

def verify_webhook(raw_payload: bytes, signature_header: str, secret: str) -> bool:
    expected = hmac.new(
        secret.encode('utf-8'),
        raw_payload,
        hashlib.sha256
    ).hexdigest()
    return hmac.compare_digest(signature_header, expected)

Exemplo de Validação em PHP

function verifyWebhookSignature($rawBody, $signatureHeader, $secret) {
    $expected = hash_hmac('sha256', $rawBody, $secret);
    return hash_equals($signatureHeader, $expected);
}