Inicio rápido de webhooks

import { createHmac, timingSafeEqual } from 'node:crypto';

// Una petición firmada más antigua que esto se rechaza, así que una
// petición capturada no se puede repetir más tarde.
const MAX_AGE_SECONDS = 5 * 60;

function isSignedByGrowWriter(rawBody: string, header: string, secret: string) {
  // La cabecera tiene esta forma: t=1756718400,v1=5257a869e7...
  const parts = Object.fromEntries(
    header.split(',').map((part) => part.split('='))
  );
  const age = Math.abs(Date.now() / 1000 - Number(parts.t));
  if (!(age < MAX_AGE_SECONDS)) {
    return false;
  }
  // Recalcula la huella sobre "timestamp.cuerpo" con tu secreto COMPLETO
  // (prefijo whsec_ incluido) y compara en tiempo constante.
  const expected = createHmac('sha256', secret)
    .update(`${parts.t}.${rawBody}`)
    .digest('hex');
  const provided = Buffer.from(parts.v1 ?? '', 'hex');
  const wanted = Buffer.from(expected, 'hex');
  return provided.length === wanted.length && timingSafeEqual(provided, wanted);
}

export async function POST(request: Request) {
  // Lee el cuerpo como texto primero. Parsearlo antes de comprobar la
  // firma cambia los bytes y la comprobación falla.
  const rawBody = await request.text();
  const signature = request.headers.get('x-growwriter-signature') ?? '';
  const secret = process.env.GROWWRITER_WEBHOOK_SECRET ?? '';

  if (!isSignedByGrowWriter(rawBody, signature, secret)) {
    return new Response('Invalid signature', { status: 401 });
  }

  const payload = JSON.parse(rawBody);

  // "Enviar evento de prueba" manda un ping sin ningún artículo dentro.
  // Responder 200 es lo que hace que la prueba tenga éxito.
  if (payload.event === 'ping') {
    return new Response('pong');
  }

  // Un artículo real (o su eliminación: article.unpublished solo lleva el
  // id). Por ahora, solo demuestra que llegó; la guía enseña a guardarlo.
  // Cuando lo guardes, Response.json({ url }) con la URL pública de la
  // entrada le da al diálogo de publicación un enlace "Ver publicación".
  console.log(`${payload.event}: ${payload.article.id}`);
  return new Response('OK');
}

GROWWRITER_WEBHOOK_SECRET=whsec_paste_your_secret_here

SECRET="whsec_paste_your_secret_here"
URL="https://www.example.com/webhooks/growwriter"
BODY='{"version":"2026-09-06","event":"ping","deliveryId":"9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e","sentAt":"2026-09-01T09:30:00.000Z"}'

TIMESTAMP=$(date +%s)
SIGNATURE=$(printf '%s.%s' "$TIMESTAMP" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | sed 's/^.* //')

curl -X POST "$URL" \
  -H "Content-Type: application/json" \
  -H "X-GrowWriter-Event: ping" \
  -H "X-GrowWriter-Delivery: 9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e" \
  -H "X-GrowWriter-Signature: t=$TIMESTAMP,v1=$SIGNATURE" \
  --data "$BODY"