Verificación de Webhooks

¿Cómo funciona la firma de seguridad?

Todas las peticiones salientes de KronoCloud incluirán un encabezado (header) llamado:

Este header contiene un hash HMAC SHA-256 generado a partir de:

• •El cuerpo (payload) de la petición en formato JSON crudo.
• •El Webhook Secret único de tu Organización (disponible en tu panel de Webhooks).

Recomendación de Implementación

Para verificar que la petición es legítima, tu servidor receptor debe seguir estos pasos:

Ejemplo de Verificación (Node.js)

// Express.js example
const crypto = require('crypto');

function verifyKronoSignature(rawBody, signature, secret) {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', secret)
    .update(rawBody)
    .digest('hex');
  return crypto.timingSafeEqual(
    Buffer.from(expected),
    Buffer.from(signature)
  );
}