Keamanan dan Penandatanganan HMAC

Setiap permintaan webhook yang dikirim Savebase ditandatangani dengan HMAC-SHA256 agar Anda dapat memastikan permintaan itu benar-benar berasal dari Savebase dan tidak diubah dalam perjalanan. Selalu verifikasi tanda tangan ini sebelum memproses peristiwa webhook.

Cara Kerja Penandatanganan

Savebase menghitung tanda tangan dengan menjalankan HMAC-SHA256 pada isi permintaan mentah menggunakan nilai webhook berikut: Rahasia Penandatanganan sebagai kunci. Hasil dikirim dalam X-Savebase-Signature header sebagai sha256=<hex-digest>.

Gunakan isi mentah

Selalu hitung HMAC atas byte mentah isi permintaan yang tidak diubah — bukan objek JSON yang diserialisasi ulang. Parsing dan mengubah JSON menjadi string kembali dapat mengubah spasi serta urutan kunci, sehingga verifikasi tanda tangan gagal.

Header	Format nilai
`X-Savebase-Signature`	`sha256=abcdef0123...`
`X-Savebase-Event`	`post.saved`
`User-Agent`	`Savebase-Webhook/1.0`

Node.js / Express

bash

const crypto = require('crypto');

function verifySignature(rawBody, signatureHeader, secret) {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', secret)
    .update(rawBody)
    .digest('hex');
  return crypto.timingSafeEqual(
    Buffer.from(expected, 'utf8'),
    Buffer.from(signatureHeader, 'utf8')
  );
}

app.post(
  '/savebase-webhook',
  express.raw({ type: 'application/json' }),
  (req, res) => {
    const sig = req.headers['x-savebase-signature'];
    if (!sig || !verifySignature(req.body, sig, process.env.SAVEBASE_WEBHOOK_SECRET)) {
      return res.status(401).send('Invalid signature');
    }
    const event = JSON.parse(req.body);
    console.log('Event:', event.event, event.data.id);
    res.sendStatus(200);
  }
);

Python / Flask

bash

import hmac, hashlib, os
from flask import Flask, request, abort

app = Flask(__name__)
WEBHOOK_SECRET = os.environ['SAVEBASE_WEBHOOK_SECRET']

@app.route('/savebase-webhook', methods=['POST'])
def handle_webhook():
    sig_header = request.headers.get('X-Savebase-Signature', '')
    raw_body = request.get_data()

    expected = 'sha256=' + hmac.new(
        WEBHOOK_SECRET.encode('utf-8'),
        raw_body,
        hashlib.sha256
    ).hexdigest()

    if not hmac.compare_digest(expected, sig_header):
        abort(401)

    payload = request.get_json()
    print('Received event:', payload['event'])
    return '', 200

PHP

bash

<?php
$secret  = getenv('SAVEBASE_WEBHOOK_SECRET');
$rawBody = file_get_contents('php://input');
$sigHeader = $_SERVER['HTTP_X_SAVEBASE_SIGNATURE'] ?? '';
$expected  = 'sha256=' . hash_hmac('sha256', $rawBody, $secret);

if (!hash_equals($expected, $sigHeader)) {
    http_response_code(401);
    exit('Invalid signature');
}

$event = json_decode($rawBody, true);
error_log('Received: ' . $event['event']);
http_response_code(200);

Praktik Terbaik Keamanan

Tanggapi dengan cepat. Kembalikan 200 OK dalam 10 detik. Savebase kehabisan waktu setelah 10 detik dan menandai pengiriman sebagai gagal. Alihkan pekerjaan berat ke tugas latar belakang.
Jangan pernah mencatat rahasia penandatanganan Anda ke log. Perlakukan seperti kata sandi. Rotasikan di Settings → Webhooks jika Anda yakin kunci telah bocor.
Gunakan HTTPS saja. Savebase menolak endpoint HTTP tanpa enkripsi.
Gunakan perbandingan tahan serangan waktu. Selalu gunakan crypto.timingSafeEqual (Node), hmac.compare_digest (Python), atau hash_equals (PHP) — jangan pernah memakai perbandingan langsung dengan ===.
Tangani kegagalan sendiri. Savebase mencatat hasil pengiriman, tetapi implementasi saat ini tidak otomatis mencoba ulang atau memutar ulang permintaan gagal.

Sebelumnya

Ringkasan & Penyiapan

Berikutnya

Log Pengiriman & Pengujian