Webhooks

Registret

Livscykeln för en leverans

1. Händelsen inträffar

   Steg 01
   En spärr registreras, ändras eller upphör. Händelsen får ett id som är stabilt över alla leveransförsök.

2. Nyttolasten signeras

   Steg 02
   Kroppen signeras med er webhook-nyckel och signaturen läggs i huvudet X-MarketMute-Signature.

3. Leverans till er endpoint

   Steg 03
   En HTTP-POST mot den adress ni registrerat. Verifiera signaturen innan ni läser innehållet.

4. Ni kvitterar

   200204
   Ett av dessa två svar avslutar leveransen. Kvittera först när ni själva tagit ansvar för händelsen — inte innan.

5. Annars: nytt försök

   Max 5 försök
   Allt annat än ett kvitto räknas som ett misslyckat försök. Vi gör om leveransen med exponentiell backoff, upp till fem försök totalt.

Verifiera signaturen

import { createHmac, timingSafeEqual } from "node:crypto";
 
export function verify(rawBody: Buffer, header: string, secret: string) {
  const expected = createHmac("sha256", secret).update(rawBody).digest();
  const received = Buffer.from(header, "hex");
 
  // Olika längd => aldrig giltig, och timingSafeEqual kastar.
  if (expected.length !== received.length) return false;
 
  return timingSafeEqual(expected, received);
}

Konsumera idempotent

// Kvitterar direkt om händelsen redan är behandlad.
if (await seen(event.id)) {
  return response(204);
}
 
await apply(event);
await remember(event.id);
return response(204);