webhook-id: 7c1e2f0a-3b5d-4e8f-9a61-2d4c8b0e5f13
webhook-timestamp: 1790490600
webhook-signature: v1,s0RzLJ1d7Cxd9nwe8pqER9DWy/stEIB+uT9MlGVLlM0=
| Fejléc |
Mi ez |
| webhook-id |
A kézbesítés azonosítója, ugyanaz az érték, mint a törzsben lévő delivery_id. Jegyezze meg a már kezelt azonosítókat, és ismétlés esetén válaszoljon 200-zal anélkül, hogy újra elvégezné a műveletet. |
| webhook-timestamp |
Amikor aláírtuk, egész másodpercekben 1970 óta. Utasítson el mindent, ami a saját órájához képest öt percnél régebbi, hogy egy régi kézbesítést ne lehessen újra elküldeni Önnek. |
| webhook-signature |
v1, majd az azonosító, az időbélyeg és a nyers törzs pontokkal összefűzött értékének base64 HMAC-SHA256 aláírása, az Ön aláírókulcsával készítve. Több is lehet belőle, szóközökkel elválasztva. Fogadja el a kézbesítést, ha bármelyik egyezik. |
Az aláírókulcs
A whsec_ előtaggal kezdődik. Vegye ezt le, és a többit dekódolja base64-ből: ezek a bájtok az HMAC-kulcs, nem a kimásolt szöveg. Egyszer jelenik meg, amikor csatlakoztatja a webhookot, vagy megnyomja a "New signing key" gombot a Közzététel oldalon, és soha nem küldjük el.
Ellenőrizze a nyers törzset
Az aláírást pontosan a beérkezett bájtokból számolja ki, mielőtt bármi feldolgozná őket. Az a JSON, amelyet dekódoltak, majd újra kódoltak, nem ugyanazokból a bájtokból áll, ezért az aláírása nem fog egyezni.
PHP
<?php
$raw = getenv('SEONIS_SIGNING_KEY'); // whsec_...
// No key, no deliveries. A missing or empty variable would otherwise become
// an empty HMAC key, and anybody can sign with that.
$secret = is_string($raw) && str_starts_with($raw, 'whsec_')
? base64_decode(substr($raw, strlen('whsec_')), true)
: false;
if ($secret === false || strlen($secret) < 24) {
http_response_code(500);
exit('Signing key not configured.');
}
$id = $_SERVER['HTTP_WEBHOOK_ID'] ?? '';
$timestamp = $_SERVER['HTTP_WEBHOOK_TIMESTAMP'] ?? '';
$header = $_SERVER['HTTP_WEBHOOK_SIGNATURE'] ?? '';
$body = file_get_contents('php://input');
if (! ctype_digit($timestamp) || abs(time() - (int) $timestamp) > 300) {
http_response_code(401);
exit('Too old.');
}
$expected = base64_encode(hash_hmac('sha256', "$id.$timestamp.$body", $secret, true));
$valid = false;
foreach (explode(' ', $header) as $signature) {
[$version, $value] = array_pad(explode(',', $signature, 2), 2, '');
$valid = $valid || ($version === 'v1' && hash_equals($expected, $value));
}
if (! $valid) {
http_response_code(401);
exit('Bad signature.');
}
$delivery = json_decode($body, true);
Node.js
import crypto from 'node:crypto';
import express from 'express';
const app = express();
// No key, no server. An empty variable would otherwise become an empty HMAC
// key, and anybody can sign with that.
const raw = process.env.SEONIS_SIGNING_KEY ?? '';
if (!raw.startsWith('whsec_')) throw new Error('SEONIS_SIGNING_KEY is not set.');
const key = Buffer.from(raw.slice('whsec_'.length), 'base64');
if (key.length < 24) throw new Error('SEONIS_SIGNING_KEY is not a valid key.');
// express.raw keeps the body as the bytes we signed.
app.post('/hooks/seonis', express.raw({ type: 'application/json' }), (req, res) => {
const id = req.get('webhook-id') ?? '';
const timestamp = req.get('webhook-timestamp') ?? '';
const header = req.get('webhook-signature') ?? '';
if (!/^\d+$/.test(timestamp) || Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
return res.status(401).send('Too old.');
}
const expected = crypto.createHmac('sha256', key)
.update(`${id}.${timestamp}.`)
.update(req.body)
.digest();
const valid = header.split(' ').some((signature) => {
const [version, value = ''] = signature.split(',');
const given = Buffer.from(value, 'base64');
return version === 'v1' && given.length === expected.length && crypto.timingSafeEqual(given, expected);
});
if (!valid) return res.status(401).send('Bad signature.');
const delivery = JSON.parse(req.body);
res.json({ ok: true });
});
Vagy használjon könyvtárat
A hivatalos Standard Webhooks könyvtárak PHP-hoz, JavaScripthoz, Pythonhoz, Go-hoz, Rubyhoz és más nyelvekhez mindezt egyetlen hívással elvégzik. Adja meg nekik az aláírókulcsot pontosan úgy, ahogy megjelent Önnek, a whsec_ előtaggal együtt.
github.com/standard-webhooks
A régebbi fejlécek
A kézbesítések a bearer tokenként használt aláírási titkot is tartalmazzák, valamint az X-AutoSEO-LT-Signature fejlécet, amely csak a törzs HMAC-je ezzel a titokkal készítve. Ezeket továbbra is küldjük, hogy a rájuk épülő végpontok működjenek. Az új végpont inkább a webhook-signature fejlécet ellenőrizze: a régi aláírás nem tartalmaz időt és azonosítót, a kulcsa pedig minden kérésben utazik.
Az AutoSEO, Outrank és BabyLoveGrowth formátum pontosan azt küldi, amit ezek a szolgáltatások küldtek, ezért ezek nem tartalmazzák ezeket a fejléceket.