Verificér en webhook (signatur)

Hver webhook-besked er signeret, så du kan bevise, at den kommer fra DanskAdresseAPI og ikke er forfalsket.

Når du opretter en webhook, får du en hemmelig nøgle (secret), der starter med whsec_. Den vises kun én gang. Sådan verificerer din server en besked:

1. Læs headeren X-Addr-Signature. Den ser sådan ud: t=1727690000,v1=5f2c… — t er et Unix-tidsstempel, v1 er signaturen.
2. Beregn selv en HMAC-SHA256 (hex) af strengen t + . + den rå request-body, med hele din secret (inkl. whsec_) som nøgle.
3. Sammenlign din beregnede værdi med v1 fra headeren — brug en tidskonstant sammenligning (fx timingSafeEqual).
4. Er de ens, er beskeden ægte. Ellers: afvis den. Tjek gerne også, at t er ny, så gamle beskeder ikke kan genafspilles.

Gem din secret sikkert (som en nøgle), og afvis altid beskeder, hvor signaturen ikke passer. Mister du den, må du oprette en ny webhook. Du finder et kodeeksempel under Verificér signaturen på Webhooks-siden.