Démarrage rapide des webhooks

import { createHmac, timingSafeEqual } from 'node:crypto';

// Une requête signée plus vieille que ceci est rejetée, une requête
// capturée ne peut donc pas être rejouée plus tard.
const MAX_AGE_SECONDS = 5 * 60;

function isSignedByGrowWriter(rawBody: string, header: string, secret: string) {
  // Le header ressemble à : t=1756718400,v1=5257a869e7...
  const parts = Object.fromEntries(
    header.split(',').map((part) => part.split('='))
  );
  const age = Math.abs(Date.now() / 1000 - Number(parts.t));
  if (!(age < MAX_AGE_SECONDS)) {
    return false;
  }
  // Recalcule l'empreinte sur "timestamp.corps" avec ton secret ENTIER
  // (préfixe whsec_ inclus) et compare en temps constant.
  const expected = createHmac('sha256', secret)
    .update(`${parts.t}.${rawBody}`)
    .digest('hex');
  const provided = Buffer.from(parts.v1 ?? '', 'hex');
  const wanted = Buffer.from(expected, 'hex');
  return provided.length === wanted.length && timingSafeEqual(provided, wanted);
}

export async function POST(request: Request) {
  // Lis le corps en texte d'abord. Le parser avant de vérifier la
  // signature change les octets et la vérification échoue.
  const rawBody = await request.text();
  const signature = request.headers.get('x-growwriter-signature') ?? '';
  const secret = process.env.GROWWRITER_WEBHOOK_SECRET ?? '';

  if (!isSignedByGrowWriter(rawBody, signature, secret)) {
    return new Response('Invalid signature', { status: 401 });
  }

  const payload = JSON.parse(rawBody);

  // « Envoyer un événement de test » envoie un ping sans article dedans.
  // Répondre 200, c'est ce qui fait réussir le test.
  if (payload.event === 'ping') {
    return new Response('pong');
  }

  // Un vrai article (ou sa suppression : article.unpublished ne porte que
  // l'id). Pour l'instant, prouve juste qu'il est arrivé ; le guide montre
  // comment l'enregistrer. Une fois enregistré, Response.json({ url }) avec
  // l'URL publique du billet donne un lien « Voir l'article » à la boîte de
  // dialogue de publication.
  console.log(`${payload.event}: ${payload.article.id}`);
  return new Response('OK');
}

GROWWRITER_WEBHOOK_SECRET=whsec_colle_ton_secret_ici

SECRET="whsec_colle_ton_secret_ici"
URL="https://www.example.com/webhooks/growwriter"
BODY='{"version":"2026-09-06","event":"ping","deliveryId":"9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e","sentAt":"2026-09-01T09:30:00.000Z"}'

TIMESTAMP=$(date +%s)
SIGNATURE=$(printf '%s.%s' "$TIMESTAMP" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | sed 's/^.* //')

curl -X POST "$URL" \
  -H "Content-Type: application/json" \
  -H "X-GrowWriter-Event: ping" \
  -H "X-GrowWriter-Delivery: 9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e" \
  -H "X-GrowWriter-Signature: t=$TIMESTAMP,v1=$SIGNATURE" \
  --data "$BODY"