Webhooks

POST /seu/endereco HTTP/1.1
Content-Type: application/json
User-Agent: FrotaSimples-Webhooks/1
FrotaSimples-Evento-Id: evt_00000000-0000-4000-8000-000000000000
FrotaSimples-Evento-Tipo: veiculo.criado
FrotaSimples-Assinatura: t=1792540800,v1=da6a...6240

{
  "id": "evt_00000000-0000-4000-8000-000000000000",
  "tipo": "veiculo.criado",
  "versao": 1,
  "criadoEm": "2026-10-20T12:00:00.000Z",
  "conta": { "id": 123 },
  "dados": { ... }
}

import { createHmac, timingSafeEqual } from 'node:crypto'

const TOLERANCIA_S = 300 // 5 minutos

/**
 * corpoCru: o texto exato recebido (antes do JSON.parse).
 * cabecalho: o valor de FrotaSimples-Assinatura.
 * segredo: o whsec_... mostrado ao criar o webhook.
 */
export function assinaturaValida(corpoCru, cabecalho, segredo, agora = Date.now() / 1000) {
  const partes = Object.fromEntries(
    String(cabecalho || '').split(',').map((p) => p.trim().split('='))
  )
  const t = Number(partes.t)
  if (!Number.isFinite(t) || !partes.v1) return false
  if (Math.abs(agora - t) > TOLERANCIA_S) return false

  const esperado = createHmac('sha256', segredo).update(t + '.' + corpoCru).digest('hex')
  const recebido = Buffer.from(partes.v1, 'hex')
  const calculado = Buffer.from(esperado, 'hex')
  return recebido.length === calculado.length && timingSafeEqual(recebido, calculado)
}

// Express: use express.raw({ type: 'application/json' }) para ter o corpo cru.
// app.post('/webhooks/frotasimples', express.raw({ type: 'application/json' }), (req, res) => {
//   if (!assinaturaValida(req.body.toString('utf8'), req.get('FrotaSimples-Assinatura'), process.env.FS_WEBHOOK_SEGREDO)) {
//     return res.sendStatus(400)
//   }
//   const evento = JSON.parse(req.body)
//   res.sendStatus(200) // responda rápido; processe em segundo plano
// })

import hashlib
import hmac
import time

TOLERANCIA_S = 300  # 5 minutos


def assinatura_valida(corpo_cru: bytes, cabecalho: str, segredo: str, agora: float | None = None) -> bool:
    """corpo_cru: os bytes exatos recebidos (request.get_data() no Flask)."""
    partes = dict(p.strip().split("=", 1) for p in (cabecalho or "").split(",") if "=" in p)
    try:
        t = int(partes["t"])
        recebido = partes["v1"]
    except (KeyError, ValueError):
        return False
    if abs((agora or time.time()) - t) > TOLERANCIA_S:
        return False

    mensagem = f"{t}.".encode() + corpo_cru
    esperado = hmac.new(segredo.encode(), mensagem, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperado, recebido)

<?php
const TOLERANCIA_S = 300; // 5 minutos

function assinatura_valida(string $corpoCru, string $cabecalho, string $segredo, ?int $agora = null): bool
{
    $partes = [];
    foreach (explode(',', $cabecalho) as $parte) {
        [$chave, $valor] = array_pad(explode('=', trim($parte), 2), 2, null);
        $partes[$chave] = $valor;
    }
    if (!isset($partes['t'], $partes['v1']) || !ctype_digit($partes['t'])) {
        return false;
    }
    $t = (int) $partes['t'];
    if (abs(($agora ?? time()) - $t) > TOLERANCIA_S) {
        return false;
    }

    $esperado = hash_hmac('sha256', $t . '.' . $corpoCru, $segredo);
    return hash_equals($esperado, $partes['v1']);
}

// $corpoCru = file_get_contents('php://input');
// $cabecalho = $_SERVER['HTTP_FROTASIMPLES_ASSINATURA'] ?? '';

{
  "segredo": "whsec_exemplo0000000000000000000000",
  "cabecalho": "t=1792540800,v1=da6afd89a62d0dc763c7e21f66df663138cc61d8ae52befdede00336dcc96240",
  "corpo": "{\"id\":\"evt_00000000-0000-4000-8000-000000000000\",\"tipo\":\"veiculo.criado\",\"versao\":1,\"criadoEm\":\"2026-10-20T12:00:00.000Z\",\"conta\":{\"id\":123},\"dados\":{\"id\":\"veh_exemplo\",\"placa\":\"ABC1D23\"}}"
}