Sichern Sie Ihren Webhook
Bestätigen Sie, dass die Webhook-Anfragen von Celoxis kamen
Jeder von Celoxis gesendete Webhook enthält einen Sicherheitsstempel (eine sogenannte Signatur), damit Ihr Empfangssystem bestätigen kann, dass die Nachricht tatsächlich von Celoxis stammt und nicht verändert wurde. Auf dieser Seite wird erklärt, wie diese Signatur erstellt und überprüft wird.
Was Celoxis mit jeder Anfrage sendet
Zusammen mit der Nachricht fügt Celoxis einige zusätzliche Details in die Anfrageheader ein:
- Ein Zeitstempel (
X-Celoxis-Timestamp) – der genaue Zeitpunkt, zu dem die Nachricht signiert wurde. - Eine Signatur (
X-Celoxis-Signatur) – der Sicherheitsstempel, der aus Ihrem Geheimnis und der Nachricht erstellt wird. - Eine Liefer-ID (
X-Celoxis-Delivery-Id) – eine eindeutige Referenz für diese Lieferung, praktisch für Ihre Protokolle.
Wie die Signatur erstellt wird
- Celoxis nimmt den Zeitstempel und den Nachrichtentext und fügt sie zusammen.
- Anschließend wird Ihr Geheimnis mithilfe einer Standardmethode namens HMAC-SHA256 , um den kombinierten Text in eine eindeutige Signatur umzuwandeln. Dasselbe Geheimnis und dieselbe Nachricht erzeugen immer dieselbe Signatur, die jedoch nicht umgekehrt werden kann, um das Geheimnis preiszugeben.
- Die Signatur wird zusammen mit der Anfrage gesendet.
So prüfen Sie die Anfrage auf Ihrer Seite
- Verwenden Sie die Nachricht exakt so, wie sie ankommt. Formatieren oder erstellen Sie sie nicht vorher neu – selbst eine kleine Änderung führt dazu, dass die Signatur nicht mehr übereinstimmt.
- Nehmen Sie den Zeitstempel und die Signatur aus den Anfrageheadern.
- Erstellen Sie die Signatur selbst neu, indem Sie die gleiche HMAC-SHA256-Methode mit Ihrer Kopie des Geheimnisses verwenden.
- Vergleichen Sie die beiden Signaturen. Stimmen sie überein, ist die Anfrage echt – akzeptieren Sie sie. Stimmen sie nicht überein, lehnen Sie sie ab.
- (Empfohlen) Lehnen Sie die Anfrage auch ab, wenn der Zeitstempel zu alt ist (z. B. mehr als 5 Minuten), damit eine alte Nachricht nicht erneut gesendet werden kann. Dies ist Ihre Entscheidung – Celoxis schreibt es nicht vor.