Verificar a assinatura

Validação do X-Kodano-Signature com HMAC-SHA256, tolerância de 5 minutos e rotação de segredo.

Página em construção

Este é um resumo. O conteúdo completo entra nas próximas versões da documentação; o contrato de cada rota já está na Referência da API.

X-Kodano-Signature: t=1792155732,v1=d3e134866c73f1ace702a6dab8e1d8225c471951a3f88f395c987bc441b22962

Separe t (instante em segundos) e cada v1 do header.
Calcule HMAC-SHA256 com o segredo inteiro (inclusive whsec_) como chave, sobre "{t}." + corpo cru.
Compare em tempo constante com cada v1; aceite se algum conferir.
Rejeite se |agora − t| passar de 300 segundos.

Use os bytes crus do corpo, nunca o JSON re-serializado.
Durante a rotação do segredo, o header traz dois v1 (novo e anterior).
Vetor de teste: segredo whsec_test_secret, t=1760486400, corpo {"id":"evt_test","type":"ping"} → v1=677603e905a53a5f17864abe50e46533c38c24e08644c3d0fe78ec7bdad22700.