Sicherheit und HMAC-Signierung

Jede von Savebase gesendete Webhook-Anfrage wird mit HMAC-SHA256 signiert. So kannst du bestätigen, dass sie tatsächlich von Savebase stammt und unterwegs nicht verändert wurde. Prüfe diese Signatur immer, bevor du ein Webhook-Ereignis verarbeitest.

So funktioniert das Signieren

Savebase berechnet die Signatur, indem es HMAC-SHA256 auf den unveränderten Anfrageinhalt anwendet und dabei Folgendes deines Webhooks verwendet: Signaturgeheimnis als Schlüssel. Das Ergebnis wird im X-Savebase-Signature Header als sha256=<hex-digest>.

Den Rohinhalt verwenden

Berechne den HMAC immer über rohe, unveränderte Bytes des Anfrageinhalts — kein neu serialisiertes JSON-Objekt. Parsing und erneute Serialisierung können Leerzeichen und Schlüsselreihenfolge ändern und die Signaturprüfung scheitern lassen.

Header	Wertformat
`X-Savebase-Signature`	`sha256=abcdef0123...`
`X-Savebase-Event`	`post.saved`
`User-Agent`	`Savebase-Webhook/1.0`

Node.js / Express

bash

const crypto = require('crypto');

function verifySignature(rawBody, signatureHeader, secret) {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', secret)
    .update(rawBody)
    .digest('hex');
  return crypto.timingSafeEqual(
    Buffer.from(expected, 'utf8'),
    Buffer.from(signatureHeader, 'utf8')
  );
}

app.post(
  '/savebase-webhook',
  express.raw({ type: 'application/json' }),
  (req, res) => {
    const sig = req.headers['x-savebase-signature'];
    if (!sig || !verifySignature(req.body, sig, process.env.SAVEBASE_WEBHOOK_SECRET)) {
      return res.status(401).send('Invalid signature');
    }
    const event = JSON.parse(req.body);
    console.log('Event:', event.event, event.data.id);
    res.sendStatus(200);
  }
);

Python / Flask

bash

import hmac, hashlib, os
from flask import Flask, request, abort

app = Flask(__name__)
WEBHOOK_SECRET = os.environ['SAVEBASE_WEBHOOK_SECRET']

@app.route('/savebase-webhook', methods=['POST'])
def handle_webhook():
    sig_header = request.headers.get('X-Savebase-Signature', '')
    raw_body = request.get_data()

    expected = 'sha256=' + hmac.new(
        WEBHOOK_SECRET.encode('utf-8'),
        raw_body,
        hashlib.sha256
    ).hexdigest()

    if not hmac.compare_digest(expected, sig_header):
        abort(401)

    payload = request.get_json()
    print('Received event:', payload['event'])
    return '', 200

PHP

bash

<?php
$secret  = getenv('SAVEBASE_WEBHOOK_SECRET');
$rawBody = file_get_contents('php://input');
$sigHeader = $_SERVER['HTTP_X_SAVEBASE_SIGNATURE'] ?? '';
$expected  = 'sha256=' . hash_hmac('sha256', $rawBody, $secret);

if (!hash_equals($expected, $sigHeader)) {
    http_response_code(401);
    exit('Invalid signature');
}

$event = json_decode($rawBody, true);
error_log('Received: ' . $event['event']);
http_response_code(200);

Bewährte Sicherheitsverfahren

Schnell reagieren. Gib ein 200 OK innerhalb von 10 Sekunden. Savebase markiert nach 10 s die Zustellung als fehlgeschlagen. Lagere schwere Verarbeitung in einen Hintergrundjob aus.
Protokolliere niemals dein Signaturgeheimnis. Behandle es wie ein Passwort. Erneuere es unter Settings → Webhooks wenn du eine Kompromittierung vermutest.
Verwende nur HTTPS. Savebase lehnt unverschlüsselte HTTP-Endpunkte ab.
Verwende einen zeitkonstanten Vergleich. Verwende immer crypto.timingSafeEqual (Node), hmac.compare_digest (Python) oder hash_equals (PHP) — niemals ein einfaches ===.
Behandle Fehler selbst. Savebase protokolliert das Zustellergebnis. Die aktuelle Implementierung wiederholt oder spielt fehlgeschlagene Anfragen jedoch nicht automatisch erneut ab.

Zurück

Überblick und Einrichtung

Weiter

Zustellprotokolle und Tests