Webhooks

const { createHmac, timingSafeEqual } = require('crypto');

const TOLERANCIA_S = 300; // 5 minutos

function verificarFirma(
  secreto,
  cuerpoCrudo,
  cabecera,
  ahoraS = Math.floor(Date.now() / 1000),
) {
  if (typeof cabecera !== 'string') return false;

  // 1. Partir `t=...,v1=...`
  const partes = new Map(
    cabecera.split(',').map((p) => {
      const i = p.indexOf('=');
      return [p.slice(0, i).trim(), p.slice(i + 1).trim()];
    }),
  );
  const t = Number(partes.get('t'));
  const v1 = partes.get('v1');
  if (!Number.isFinite(t) || !v1) return false;

  // 2. Rechazar lo viejo ANTES de comparar: una firma vieja es válida
  //    criptográficamente, y aceptarla habilita un replay.
  if (Math.abs(ahoraS - t) > TOLERANCIA_S) return false;

  // 3. El material firmado es `timestamp.cuerpo`, con el cuerpo TAL CUAL llegó.
  const esperado = createHmac('sha256', secreto)
    .update(`${t}.${cuerpoCrudo}`)
    .digest('hex');

  // 4. Comparación en tiempo constante.
  const a = Buffer.from(v1, 'hex');
  const b = Buffer.from(esperado, 'hex');
  return a.length === b.length && timingSafeEqual(a, b);
}

import hmac, hashlib, time

TOLERANCIA_S = 300  # 5 minutos

def verificar_firma(secreto: str, cuerpo_crudo: bytes, cabecera: str, ahora_s: int | None = None) -> bool:
    if ahora_s is None:
        ahora_s = int(time.time())
    if not cabecera:
        return False

    partes = {}
    for p in cabecera.split(","):
        if "=" not in p:
            return False
        k, v = p.split("=", 1)
        partes[k.strip()] = v.strip()

    try:
        t = int(partes["t"])
        v1 = partes["v1"]
    except (KeyError, ValueError):
        return False

    if abs(ahora_s - t) > TOLERANCIA_S:
        return False

    material = f"{t}.".encode() + cuerpo_crudo
    esperado = hmac.new(secreto.encode(), material, hashlib.sha256).hexdigest()
    return hmac.compare_digest(v1, esperado)