Webhooks

{
  "evento": "rendicion.aprobada",
  "version": "1",
  "entidad": "rendicion",
  "id": "3e8bcc2a-85b8-49a0-8fa2-5339c8936d93",
  "detalle": { "comentario": "Ok" },
  "ocurrido_en": "2026-10-04T12:02:11.482391-03:00",
  "envio": "b1f0c9a2-2c1e-4c8a-9a51-0e3c4f5a6b7c"
}

import { createHmac, timingSafeEqual } from "node:crypto";

// cuerpo: el texto tal como llegó, antes de interpretarlo como JSON.
function verificar(cuerpo, encabezado, secreto) {
  const { t, v1 } = Object.fromEntries(encabezado.split(",").map((p) => p.split("=")));
  if (Math.abs(Date.now() / 1000 - Number(t)) > 300) return false; // más de 5 minutos: repetido
  const esperado = Buffer.from(createHmac("sha256", secreto).update(`${t}.${cuerpo}`).digest("hex"));
  const recibido = Buffer.from(v1 ?? "");
  return recibido.length === esperado.length && timingSafeEqual(esperado, recibido);
}

import hashlib
import hmac
import time


# cuerpo: los bytes tal como llegaron, antes de interpretarlos como JSON.
def verificar(cuerpo: bytes, encabezado: str, secreto: str) -> bool:
    partes = dict(p.split("=", 1) for p in encabezado.split(",") if "=" in p)
    t, v1 = partes.get("t", "0"), partes.get("v1", "")
    if abs(time.time() - int(t)) > 300:  # más de 5 minutos: repetido
        return False
    firmado = t.encode() + b"." + cuerpo
    esperado = hmac.new(secreto.encode(), firmado, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperado, v1)

import { createServer } from "node:http";

createServer(async (pedido, respuesta) => {
  let cuerpo = "";
  for await (const parte of pedido) cuerpo += parte;
  if (!verificar(cuerpo, pedido.headers["simpligastos-firma"] ?? "", process.env.SIMPLIGASTOS_SECRETO)) {
    respuesta.writeHead(400).end();
    return;
  }
  const aviso = JSON.parse(cuerpo);
  // Responde rápido y procesa aparte: el mismo envío puede llegar dos veces.
  respuesta.writeHead(204).end();
  procesar(aviso); // usa aviso.envio para no procesarlo dos veces
}).listen(3000);