Güvenlik

HMAC-SHA256 İmza Doğrulama

Her webhook, HMAC-SHA256 ile hesaplanan kriptografik bir imza içerir. Bu, webhook'un HookSniff'ten geldiğini ve değiştirilmediğini kanıtlar.

HookSniff, Standard Webhooks spesifikasyonunu takip eder — Svix, Clerk ve diğer webhook sağlayıcılarının kullandığı aynı standart.

Başlıklar

Her teslimat üç başlık içerir:

Algoritma

signed_content = "{webhook-id}.{webhook-timestamp}.{body}"
signature = "v1," + base64(hmac_sha256(secret, signed_content))

SDK'lar ile Doğrulama

Tüm HookSniff SDK'ları doğrulamayı otomatik olarak yapar:

// Node.js
import { Webhook } from 'hooksniff';
const wh = new Webhook('whsec_your_secret');
const payload = wh.verify(req.body, {
  'webhook-id': req.headers['webhook-id'],
  'webhook-timestamp': req.headers['webhook-timestamp'],
  'webhook-signature': req.headers['webhook-signature'],
});

# Python
from hooksniff import Webhook
wh = Webhook("whsec_your_secret")
payload = wh.verify(request.data, dict(request.headers))

// Go
wh, _ := hooksniff.NewWebhook("whsec_your_secret")
payload, err := wh.Verify(r.Body, r.Header)

Tüm 11 dil için Webhook Doğrulama Rehberi'ne bakın.

SSRF Koruması

HookSniff, Sunucu Tarafı İstek Sahteciliği (SSRF) saldırılarını önlemek için özel/iç IP adreslerine webhook teslimatını engeller.

TLS Zorlaması

Tüm webhook teslimatları HTTPS kullanır. HookSniff, HTTP endpoint'lere teslimat yapmayı reddeder (geliştirme için localhost hariç).

• TLS 1.2+ zorunlu
• Sertifika doğrulaması zorunlu
• HTTP endpoint'ler endpoint_url_not_https hatasıyla reddedilir

İki Faktörlü Kimlik Doğrulama (2FA)

HookSniff hesabınızı TOTP tabanlı 2FA ile koruyun:

# Enable 2FA
curl -X POST https://hooksniff-api-1046140057667.europe-west1.run.app/v1/auth/2fa/enable \
  -H "Authorization: Bearer hr_live_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"password": "your_password"}'

# Returns QR code URL for your authenticator app

API Anahtar Güvenliği