Webhooks — Vue d'ensemble

const express = require("express");
const crypto = require("crypto");

const SIGNING_SECRET = process.env.MED_WEBHOOK_SECRET; // whsec_...
const MAX_SKEW_SECONDS = 300; // anti-rejeu : 5 min

const app = express();

// IMPORTANT : capturer le corps BRUT (pas express.json()) pour signer à l'identique.
app.use("/webhooks/med", express.raw({ type: "application/json" }));

function verifyMedSignature(req) {
  const signature = req.get("X-MED-Signature") || ""; // "sha256=..."
  const timestamp = req.get("X-MED-Timestamp") || "";
  const rawBody = req.body; // Buffer

  // 1. Anti-rejeu : refuser un horodatage trop ancien.
  const ts = Number(timestamp);
  if (!Number.isFinite(ts)) return false;
  const skew = Math.abs(Math.floor(Date.now() / 1000) - ts);
  if (skew > MAX_SKEW_SECONDS) return false;

  // 2. Recalculer le HMAC sur "{timestamp}.{rawBody}".
  const signedPayload = `${timestamp}.${rawBody.toString("utf8")}`;
  const expected =
    "sha256=" +
    crypto.createHmac("sha256", SIGNING_SECRET).update(signedPayload).digest("hex");

  // 3. Comparaison à temps constant (anti timing-attack).
  const a = Buffer.from(signature);
  const b = Buffer.from(expected);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

app.post("/webhooks/med", (req, res) => {
  if (!verifyMedSignature(req)) {
    return res.status(401).send("invalid signature");
  }

  const deliveryId = req.get("X-MED-Delivery-Id");
  const event = JSON.parse(req.body.toString("utf8")); // { id, type, created_at, data }

  // Idempotence : ignorer une livraison déjà traitée.
  if (alreadyProcessed(deliveryId)) {
    return res.status(200).send("ok"); // acquitter quand même
  }

  // Empilez le travail lourd dans une file et répondez immédiatement.
  enqueue(event);
  markProcessed(deliveryId);

  return res.status(200).send("ok");
});

function alreadyProcessed(_id) { return false; } // à remplacer par votre store
function markProcessed(_id) {}
function enqueue(_event) {}

app.listen(3000, () => console.log("listening on :3000"));