Domanda : Come verificare che un webhook arrivi davvero da Mailpro (firma HMAC)?

Ogni chiamata inviata da Mailpro contiene header che permettono di autenticarla:

X-Mailpro-Signature : t=1758000000,v1=5a72…c8b1
X-Mailpro-Event-Id  : evt_5f2c…
X-Mailpro-Event-Type: email.delivered
X-Mailpro-Attempt   : 1

Calcolo della firma

v1 è l'HMAC-SHA256, in esadecimale minuscolo, della stringa t + "." + corpo grezzo della richiesta, calcolato con il secret consegnato alla creazione del webhook. Il corpo va preso esattamente come ricevuto, prima di qualsiasi decodifica JSON.

// Node.js
const crypto = require("crypto");
function verify(rawBody, header, secret) {
const t  = header.match(/t=([0-9]+)/)[1];
const v1 = header.match(/v1=([0-9a-f]+)/)[1];
const expected = crypto.createHmac("sha256", secret).update(t + "." + rawBody).digest("hex");
const fresh = Math.abs(Date.now() / 1000 - Number(t)) < 300;   // 5 minuti
return fresh && crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(v1));
}

Buone pratiche

• Rifiutate ogni richiesta la cui firma non corrisponde o il cui timestamp t è più vecchio di qualche minuto (protezione dai replay).
• Usate X-Mailpro-Event-Id per ignorare un evento già elaborato: la stessa consegna può presentarsi più volte in caso di nuovo tentativo.
• Rispondete 2xx entro 10 secondi, poi elaborate il messaggio in modo asincrono.
• Dopo Rinnova il secret, il vecchio secret è invalidato immediatamente: aggiornate prima il vostro server, oppure tollerate un minuto di firme rifiutate.

I webhook di destinazione dell'automazione (verso B) seguono lo stesso principio, con l'header X-Mailpro-Automation-Signature e la chiave di firma facoltativa che definite sulla destinazione.