Vérifier la signature d’un webhook (développeurs)

En-têtes envoyés et calcul du HMAC-SHA256.

À quoi ça sert

S’assurer qu’un appel vient bien de Funnelix Market.

Prérequis et forfait

Le secret du webhook (affiché dans Connexions, whsec_…).

Étapes

1. Chaque envoi est un POST JSON avec les en-têtes X-Fluxia-Event, X-Fluxia-Delivery et X-Fluxia-Signature: t=<horodatage>,v1=<signature>.
2. La signature est le HMAC-SHA256 de <horodatage>.<corps brut> avec le secret du webhook.
3. Comparez avec hash_equals et refusez si l’horodatage s’écarte de plus de 10 minutes.
4. Le corps contient id, event, created, funnel et data.

Résultat attendu

Seuls les appels signés avec votre secret sont acceptés par votre application.

Astuces

• Les événements : lead.created, order.paid, order.refunded (et ping pour les tests).

Problèmes fréquents

Pages concernées

• Paramètres › Connexions

Articles liés