Как проверить подпись входящих webhook запросов?

Как проверить подпись входящих webhook запросов? Зайдите в настройки вебхуков вашего сервиса (например, Stripe или GitHub), найдите раздел с секретом подписи — он обычно называется Webhook Signing Secret, скопируйте его и используйте для вычисления HMAC-подписи от тела запроса. Сравните полученный результат со значением заголовка X-Signature или аналогичного: если подписи совпадают, запрос настоящий, если нет — отклоняйте. Не сравнивайте подписи обычным оператором равенства — используйте функцию с постоянным временем выполнения, например crypto.timingSafeEqual, чтобы не раскрыть секрет через timing-атаку. Обязательно проверяйте метку времени в заголовке запроса: если она отличается от текущей более чем на пять минут, считайте запрос поддельным и не обрабатывайте его.