Webhooks

// Vérification d'un webhook Bref Point Inbox — à copier dans votre serveur (Node.js ≥ 18, sans dépendance).
//
// L'en-tête `BrefPoint-Signature` a la forme : t=<secondes>,v1=<hmac-sha256-hex>
// La signature porte sur la chaîne  "<t>.<corps brut>"  avec le secret `whsec_…` de la destination.
import { createHmac, timingSafeEqual } from 'node:crypto';

/**
 * @param {string|Buffer} rawBody  le corps EXACT reçu (avant tout JSON.parse)
 * @param {string} header          valeur de l'en-tête BrefPoint-Signature
 * @param {string} secret          secret whsec_… de la destination
 * @param {number} toleranceSeconds âge maximal accepté (protège du rejeu), 300 s par défaut
 */
export function verifyWebhook(rawBody, header, secret, toleranceSeconds = 300) {
  const parts = Object.fromEntries((header ?? '').split(',').map((p) => p.split('=')));
  const t = Number(parts.t);
  if (!Number.isFinite(t) || !parts.v1) return false;
  if (Math.abs(Date.now() / 1000 - t) > toleranceSeconds) return false;
  const expected = createHmac('sha256', secret).update(`${t}.${rawBody}`).digest();
  const given = Buffer.from(parts.v1, 'hex');
  return given.length === expected.length && timingSafeEqual(given, expected);
}

// Exemple avec Express :
//   app.post('/webhooks/inbox', express.raw({ type: 'application/json' }), (req, res) => {
//     if (!verifyWebhook(req.body, req.get('BrefPoint-Signature'), process.env.INBOX_WEBHOOK_SECRET)) return res.sendStatus(401);
//     const event = JSON.parse(req.body);      // { id, type, createdAt, data }
//     // `event.id` est stable : s'il revient (nouvel essai, rejeu), ignorez-le s'il est déjà traité.
//     res.sendStatus(200);                     // répondre vite (2xx), traiter ensuite
//   });

# Vérification d'un webhook Bref Point Inbox — Python 3, sans dépendance.
# En-tête BrefPoint-Signature : t=<secondes>,v1=<hmac-sha256-hex> ; la signature porte sur "<t>.<corps brut>".
import hashlib
import hmac
import time


def verify_webhook(raw_body: bytes, header: str, secret: str, tolerance_seconds: int = 300) -> bool:
    """raw_body : le corps EXACT reçu (octets), avant tout json.loads."""
    try:
        parts = dict(p.split("=", 1) for p in header.split(","))
        t = int(parts["t"])
        v1 = parts["v1"]
    except (KeyError, ValueError, AttributeError):
        return False
    if abs(time.time() - t) > tolerance_seconds:  # envoi trop ancien : rejeu possible
        return False
    expected = hmac.new(secret.encode(), f"{t}.".encode() + raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, v1)


# Exemple avec Flask :
#   @app.post("/webhooks/inbox")
#   def inbox_webhook():
#       if not verify_webhook(request.get_data(), request.headers.get("BrefPoint-Signature", ""), SECRET):
#           return "", 401
#       event = request.get_json()        # { id, type, createdAt, data }
#       # event["id"] est stable : ignorez-le s'il est déjà traité (nouvel essai, rejeu)
#       return "", 200                    # répondre vite (2xx), traiter ensuite

<?php
// Vérification d'un webhook Bref Point Inbox — PHP 7.4+, sans dépendance.
// En-tête BrefPoint-Signature : t=<secondes>,v1=<hmac-sha256-hex> ; la signature porte sur "<t>.<corps brut>".

/**
 * @param string      $rawBody   le corps EXACT reçu : file_get_contents('php://input'), avant json_decode
 * @param string|null $header    valeur de l'en-tête BrefPoint-Signature
 * @param string      $secret    secret whsec_… de la destination
 */
function verifyWebhook(string $rawBody, ?string $header, string $secret, int $toleranceSeconds = 300): bool
{
    if (!$header) {
        return false;
    }
    $parts = [];
    foreach (explode(',', $header) as $part) {
        [$key, $value] = array_pad(explode('=', $part, 2), 2, '');
        $parts[$key] = $value;
    }
    if (!isset($parts['t'], $parts['v1']) || !ctype_digit($parts['t'])) {
        return false;
    }
    if (abs(time() - (int) $parts['t']) > $toleranceSeconds) { // envoi trop ancien : rejeu possible
        return false;
    }
    $expected = hash_hmac('sha256', $parts['t'] . '.' . $rawBody, $secret);
    return hash_equals($expected, $parts['v1']);
}

// Utilisation :
//   $raw = file_get_contents('php://input');
//   if (!verifyWebhook($raw, $_SERVER['HTTP_BREFPOINT_SIGNATURE'] ?? null, getenv('INBOX_WEBHOOK_SECRET'))) {
//       http_response_code(401); exit;
//   }
//   $event = json_decode($raw, true);   // { id, type, createdAt, data } — `id` est stable : dédoublonnez dessus
//   http_response_code(200);            // répondre vite (2xx), traiter ensuite