Sécurité des webhooks

Une URL de webhook est publique. N’importe qui connaissant l’adresse peut lui envoyer une requête qui ressemble à s’y méprendre à un vrai événement Mercy Pay. La signature est ce qui vous permet de faire la différence : vérifiez-la systématiquement avant de traiter quoi que ce soit.

Principe

Mercy Pay calcule un HMAC-SHA256 du corps brut de la requête, avec le secret de l’endpoint, et l’envoie en hexadécimal dans X-MercyPay-Signature. Pour vérifier :

Lisez le corps tel qu’il est reçu, en octets, sans le parser.
Calculez le HMAC-SHA256 avec votre secret.
Comparez les deux valeurs à temps constant.

Exemple en PHP

<?php

$rawBody = file_get_contents('php://input');
$received = $_SERVER['HTTP_X_MERCYPAY_SIGNATURE'] ?? '';
$expected = hash_hmac('sha256', $rawBody, getenv('MERCYPAY_WEBHOOK_SECRET'));

if (! hash_equals($expected, $received)) {
    http_response_code(401);
    exit;
}

$event = json_decode($rawBody, true);

Bonnes pratiques

Gardez le secret dans votre gestionnaire de secrets, jamais dans le code.
Refusez tout événement dont la signature ne correspond pas.
Ne vous fiez pas à l’ordre d’arrivée : utilisez le status de la ressource.
Un secret compromis ne se change pas en place : supprimez l’endpoint, recréez-en un (nouveau secret), et mettez à jour votre serveur avant de rebasculer le trafic dessus.

Démarrage

Concepts

Guides

Webhooks

Ressources

Sécurité des webhooks

Principe

Exemple en PHP

Bonnes pratiques

​Principe

​Exemple en PHP

​Bonnes pratiques

Principe

Exemple en PHP

Bonnes pratiques