Webhook シークレット生成ツール

1. 1送信側は、共有シークレットと raw のリクエストボディから署名を作成します。
2. 2送信側は、その署名を HTTP ヘッダーに含めます。
3. 3受信側は、raw のリクエストボディを読み取ります。
4. 4受信側は、同じシークレットで自分の署名を作成します。
5. 5受信側は、定数時間比較で両方の署名を照合します。
6. 6一致した場合は、そのリクエストを受け入れます。
7. 7一致しない場合は、そのリクエストを拒否します。

JSON をパースする前に、必ず raw のリクエストボディで署名を検証してください。

• raw のリクエストボディを必ず検証する。
• 署名検証の前に JSON をパースしない。
• 定数時間比較を使う。
• 署名がないリクエストは拒否する。
• 署名が不正なリクエストは拒否する。
• HTTPS を使う。
• 漏えいした可能性がある secret はローテーションする。
• secret は環境変数または secret manager に保存する。
• secret をリポジトリにコミットしない。
• Stripe、GitHub、Slack、Shopify、Discord などは、各サービスのルールに従う。

• raw ボディではなく、パース済みオブジェクトで検証してしまう。
• 短すぎるシークレットや推測しやすい値を使う。
• シークレットをログ出力したり、解析ツールへ流してしまう。
• 署名がないリクエストを受け入れてしまう。
• 同じシークレットを何箇所でも使い回してしまう。