Webhook-Schnellstart

import { createHmac, timingSafeEqual } from 'node:crypto';

// Eine signierte Anfrage, die älter ist als das hier, wird abgelehnt. So
// lässt sich eine abgefangene Anfrage später nicht wieder einspielen.
const MAX_AGE_SECONDS = 5 * 60;

function isSignedByGrowWriter(rawBody: string, header: string, secret: string) {
  // Der Header sieht so aus: t=1756718400,v1=5257a869e7...
  const parts = Object.fromEntries(
    header.split(',').map((part) => part.split('='))
  );
  const age = Math.abs(Date.now() / 1000 - Number(parts.t));
  if (!(age < MAX_AGE_SECONDS)) {
    return false;
  }
  // Berechne den Fingerabdruck über "zeitstempel.body" nach, mit deinem
  // KOMPLETTEN Schlüssel (whsec_-Präfix inklusive), und vergleiche in
  // konstanter Zeit.
  const expected = createHmac('sha256', secret)
    .update(`${parts.t}.${rawBody}`)
    .digest('hex');
  const provided = Buffer.from(parts.v1 ?? '', 'hex');
  const wanted = Buffer.from(expected, 'hex');
  return provided.length === wanted.length && timingSafeEqual(provided, wanted);
}

export async function POST(request: Request) {
  // Lies den Body zuerst als Text. Ihn vor der Signaturprüfung zu parsen
  // ändert die Bytes, und die Prüfung schlägt fehl.
  const rawBody = await request.text();
  const signature = request.headers.get('x-growwriter-signature') ?? '';
  const secret = process.env.GROWWRITER_WEBHOOK_SECRET ?? '';

  if (!isSignedByGrowWriter(rawBody, signature, secret)) {
    return new Response('Invalid signature', { status: 401 });
  }

  const payload = JSON.parse(rawBody);

  // "Testereignis senden" schickt einen Ping ohne Artikel. Die 200-Antwort
  // hier lässt den Test gelingen.
  if (payload.event === 'ping') {
    return new Response('pong');
  }

  // Ein echter Artikel (oder seine Entfernung: article.unpublished trägt nur
  // die id). Für den Moment beweisen wir nur, dass er angekommen ist; die
  // Anleitung zeigt, wie du ihn speicherst. Sobald du das tust, gibt
  // Response.json({ url }) mit der öffentlichen URL des Beitrags dem
  // Veröffentlichen-Dialog einen Link "Beitrag ansehen".
  console.log(`${payload.event}: ${payload.article.id}`);
  return new Response('OK');
}

GROWWRITER_WEBHOOK_SECRET=whsec_paste_your_secret_here

SECRET="whsec_paste_your_secret_here"
URL="https://www.example.com/webhooks/growwriter"
BODY='{"version":"2026-09-06","event":"ping","deliveryId":"9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e","sentAt":"2026-09-01T09:30:00.000Z"}'

TIMESTAMP=$(date +%s)
SIGNATURE=$(printf '%s.%s' "$TIMESTAMP" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | sed 's/^.* //')

curl -X POST "$URL" \
  -H "Content-Type: application/json" \
  -H "X-GrowWriter-Event: ping" \
  -H "X-GrowWriter-Delivery: 9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e" \
  -H "X-GrowWriter-Signature: t=$TIMESTAMP,v1=$SIGNATURE" \
  --data "$BODY"