Glossar · Engineering
Webhook Signing (Signaturprüfung)
Ein Verfahren, bei dem der Absender jeden Webhook mit einem geheimen Schlüssel signiert, damit der Empfänger Echtheit und Unverändertheit prüfen kann.
Definition
Der Absender berechnet über den rohen Request-Body (und oft einen Zeitstempel) eine Signatur, meist ein HMAC mit einem geteilten Secret, und schickt sie in einem Header mit. Dein Endpunkt berechnet dieselbe Signatur nach und vergleicht sie in konstanter Zeit gegen den Header. Stimmt sie nicht, verwirfst du den Request mit 401, bevor überhaupt Logik läuft.
Ohne Signaturprüfung ist ein öffentlicher Webhook-Endpunkt eine offene Tür: jeder, der die URL kennt, kann gefälschte Ereignisse einspielen. Der mitgeschickte Zeitstempel schützt zusätzlich vor Replay, indem du zu alte Requests ablehnst. Wichtig ist, gegen den rohen Body zu prüfen und nicht gegen eine neu serialisierte Fassung, weil sonst schon ein umsortiertes JSON die Signatur bricht.
So nutzen wir das bei adsbird
Der Meta-Webhook für Instant Forms verifiziert die X-Hub-Signature per HMAC gegen den Roh-Body, bevor der Worker das Lead-Ereignis annimmt und in Supabase schreibt.
Verwandte Begriffe
Webhook Signing (Signaturprüfung) in deinem Projekt?
Wir bauen damit,
jeden Tag.
Wenn du Webhook Signing in einem konkreten Workflow brauchst, wir haben das wahrscheinlich schon gebaut.