Webhooks

<?php
// webhook.php — recebe avisos do Mapogos
$segredo = getenv('MAPOGOS_WEBHOOK_SECRET');
$corpo   = file_get_contents('php://input');
$ts      = $_SERVER['HTTP_X_MAPOGOS_TIMESTAMP'] ?? '';
$assin   = $_SERVER['HTTP_X_MAPOGOS_ASSINATURA'] ?? '';

$esperado = 'sha256=' . hash_hmac('sha256', $ts . '.' . $corpo, $segredo);
if (!hash_equals($esperado, $assin) || abs(time() - (int)$ts) > 300) {
  http_response_code(401);
  exit;
}

$evento = json_decode($corpo, true);
if (!jaProcessado($evento['id'])) {          // evita processar duas vezes
  enfileirar($evento);                        // processe depois, responda rápido
}
http_response_code(200);

import crypto from 'node:crypto';
import express from 'express';

const app = express();
app.post('/webhooks/mapogos', express.raw({ type: 'application/json' }), (req, res) => {
  const ts = req.get('X-Mapogos-Timestamp');
  const assin = req.get('X-Mapogos-Assinatura') || '';
  const esperado = 'sha256=' + crypto
    .createHmac('sha256', process.env.MAPOGOS_WEBHOOK_SECRET)
    .update(`${ts}.${req.body}`)
    .digest('hex');

  const valido = assin.length === esperado.length &&
    crypto.timingSafeEqual(Buffer.from(assin), Buffer.from(esperado));
  if (!valido || Math.abs(Date.now() / 1000 - Number(ts)) > 300) return res.sendStatus(401);

  const evento = JSON.parse(req.body);
  enfileirar(evento); // processe depois
  res.sendStatus(200);
});

import hmac, hashlib, os, time, json
from flask import Flask, request, abort

app = Flask(__name__)

@app.post("/webhooks/mapogos")
def mapogos():
    corpo = request.get_data()
    ts = request.headers.get("X-Mapogos-Timestamp", "")
    assin = request.headers.get("X-Mapogos-Assinatura", "")
    esperado = "sha256=" + hmac.new(os.environ["MAPOGOS_WEBHOOK_SECRET"].encode(),
                                    ts.encode() + b"." + corpo, hashlib.sha256).hexdigest()
    if not hmac.compare_digest(esperado, assin) or abs(time.time() - int(ts or 0)) > 300:
        abort(401)
    evento = json.loads(corpo)
    enfileirar(evento)  # processe depois
    return "", 200