Avisos e assinatura

curl -s -X PUT $B/avisos -H "Authorization: Bearer $K" -H 'content-type: application/json' \
  -d '{"url":"https://erp.exemplo.com.br/webhooks/sellume","eventos":["geracao.concluida","geracao.falhou"],"descricao":"Produção"}'

{
  "eventId": "evt_01J9Z8H7J6K5L4M3N2P1Q0R9S8",
  "date": "2026-10-10T14:08:32Z",
  "version": "1",
  "event": "geracao.concluida",
  "integradorId": "itg_01J9Z5W4V3U2T1S0R9Q8P7N6M5",
  "contaId": "cta_01J9Z6K8X2M4R7T1Q3W5E8Y0U2",
  "data": { "id": "ger_01J9Z8C4D5E6F7G8H9J0K1L2M3", "tipo": "galeria", "situacao": "concluida" }
}

v1 = HMAC-SHA256(segredo, "<t>.<corpo bruto>")   em hexadecimal minúsculo

import { createHmac, timingSafeEqual } from 'node:crypto';
import { createServer } from 'node:http';

const SEGREDO = process.env.SELLUME_WHSEC; // whsec_…
const TOLERANCIA_S = 300; // 5 minutos

export function assinaturaValida(corpoBruto, cabecalho, segredo, agora = Math.floor(Date.now() / 1000)) {
  if (typeof cabecalho !== 'string' || !segredo) return false;
  let t = null;
  const assinaturas = [];
  for (const parte of cabecalho.split(',')) {
    const i = parte.indexOf('=');
    if (i < 0) continue;
    const chave = parte.slice(0, i).trim();
    const valor = parte.slice(i + 1).trim();
    if (chave === 't') t = valor;
    else if (chave === 'v1') assinaturas.push(valor);
  }
  if (!t || !/^\d+$/.test(t) || assinaturas.length === 0) return false;
  if (Math.abs(agora - Number(t)) > TOLERANCIA_S) return false;
  const esperado = createHmac('sha256', segredo).update(`${t}.`).update(corpoBruto).digest();
  return assinaturas.some((v1) => /^[0-9a-f]{64}$/.test(v1) && timingSafeEqual(Buffer.from(v1, 'hex'), esperado));
}

createServer((pedido, resposta) => {
  const pedacos = [];
  pedido.on('data', (pedaco) => pedacos.push(pedaco));
  pedido.on('end', () => {
    const corpo = Buffer.concat(pedacos); // corpo BRUTO
    if (!assinaturaValida(corpo, pedido.headers['x-sellume-signature'], SEGREDO)) {
      resposta.writeHead(401).end();
      return;
    }
    resposta.writeHead(200).end(); // responda logo
    const aviso = JSON.parse(corpo.toString('utf8'));
    // descarte se aviso.eventId já foi processado; senão, coloque numa fila
  });
}).listen(3000);

<?php
function assinaturaValida(string $corpo, string $cabecalho, string $segredo, ?int $agora = null): bool
{
    $agora = $agora ?? time();
    $t = null;
    $assinaturas = [];
    foreach (explode(',', $cabecalho) as $parte) {
        $par = explode('=', trim($parte), 2);
        if (count($par) !== 2) continue;
        if ($par[0] === 't') $t = $par[1];
        elseif ($par[0] === 'v1') $assinaturas[] = $par[1];
    }
    if ($t === null || !ctype_digit($t) || !$assinaturas) return false;
    if (abs($agora - (int) $t) > 300) return false; // 5 minutos
    $esperado = hash_hmac('sha256', $t . '.' . $corpo, $segredo);
    foreach ($assinaturas as $v1) {
        if (hash_equals($esperado, $v1)) return true;
    }
    return false;
}

$corpo = file_get_contents('php://input'); // corpo BRUTO, antes de json_decode
$cabecalho = $_SERVER['HTTP_X_SELLUME_SIGNATURE'] ?? '';
$segredo = getenv('SELLUME_WHSEC'); // whsec_…

if (!assinaturaValida($corpo, $cabecalho, (string) $segredo)) {
    http_response_code(401);
    exit;
}
http_response_code(200);
$aviso = json_decode($corpo, true);
// descarte se $aviso['eventId'] já foi processado; senão, coloque numa fila

import hashlib
import hmac
import os
import time

SEGREDO = os.environ["SELLUME_WHSEC"]  # whsec_…
TOLERANCIA_S = 300  # 5 minutos


def assinatura_valida(corpo: bytes, cabecalho: str, segredo: str, agora=None) -> bool:
    agora = int(time.time()) if agora is None else agora
    t = None
    assinaturas = []
    for parte in (cabecalho or "").split(","):
        chave, _, valor = parte.strip().partition("=")
        if chave == "t":
            t = valor
        elif chave == "v1":
            assinaturas.append(valor)
    if not t or not (t.isascii() and t.isdigit()) or not assinaturas:
        return False
    if abs(agora - int(t)) > TOLERANCIA_S:
        return False
    esperado = hmac.new(segredo.encode(), t.encode() + b"." + corpo, hashlib.sha256).hexdigest()
    return any(hmac.compare_digest(esperado.encode(), v1.encode()) for v1 in assinaturas)


# Exemplo com Flask: request.get_data() é o corpo bruto (não use request.json para conferir).
from flask import Flask, request

app = Flask(__name__)


@app.post("/webhooks/sellume")
def receber_aviso():
    corpo = request.get_data()
    if not assinatura_valida(corpo, request.headers.get("X-Sellume-Signature", ""), SEGREDO):
        return "", 401
    # descarte se o eventId já foi processado; senão, coloque numa fila
    return "", 200

curl -s -X POST $B/avisos/teste -H "Authorization: Bearer $K" -H 'content-type: application/json' -d '{"avisoId":"avs_…"}'

{ "data": [ { "id": "tst_01M4NCF47MR0BHT90ENTXB52JK", "avisoId": "avs_01M4NCE2Q8VJ4R6T9W1Y3B5D7F", "situacao": "em_andamento" } ] }

{
  "data": {
    "id": "tst_01M4NCF47MR0BHT90ENTXB52JK",
    "situacao": "aprovado",
    "entregas": [
      { "caso": "valido", "esperado": "2XX", "statusHttp": 200, "aprovado": true },
      { "caso": "assinatura_invalida", "esperado": "400|401|403", "statusHttp": 401, "aprovado": true },
      { "caso": "carimbo_antigo", "esperado": "400|401|403", "statusHttp": 401, "aprovado": true }
    ]
  }
}