Webhooks en integraties

Controleer een webhook-handtekening

Bereken de handtekening over de rauwe request body, vóór elke JSON-parsing, en vergelijk in constante tijd. Het opnieuw serialiseren van de payload verandert de bytes, en dan komt de handtekening nooit meer overeen.

Gecontroleerd op 20 augustus 2026

Stappen

1. Vang de rauwe body op als bytes. De meeste frameworks geven je standaard een al geparst object, en dan is het al te laat.
2. Bereken de handtekening over precies die bytes met het secret van je endpoint.
3. Vergelijk met een constante-tijdvergelijking in plaats van string-gelijkheid.
4. Parse de JSON pas nadat de handtekening klopt.
5. Weiger alles wat faalt, en log het delivery-id in plaats van de body.

Hoe je het resultaat controleert

Een echte aflevering slaagt in de controle, en dezelfde payload met één gewijzigd teken niet.

Wat er meestal misgaat

• Parsen en opnieuw serialiseren vóór het berekenen van de handtekening.
• Een body-parser-middleware die de stream opeet vóór je handler.
• Een simpele === op de handtekening, die via timing lekt.