웹훅

{
  "eventId": "8c1f0b9e-4d2a-4c7b-9f1e-2a6d8e5c3b71",
  "eventType": "notification.delivered",
  "workspaceId": "11111111-2222-3333-4444-555555555555",
  "notificationRequestId": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "delivered",
  "occurredAt": "2026-07-10T12:00:00.000Z",
  "payload": {
    "provider": "solapi_sms",
    "externalEventId": "MSG-20260710-0001"
  }
}

signature = HMAC-SHA256(secret, "{timestamp}.{rawBody}")  →  hex 인코딩

import express from 'express';
import crypto from 'node:crypto';
 
const app = express();
const WEBHOOK_SECRET = process.env.POSMIT_WEBHOOK_SECRET!; // YOUR_HMAC_SECRET (64자 hex)
 
// 서명 검증을 위해 원문 바디를 그대로 받습니다
app.post(
  '/webhooks/posmit',
  express.raw({ type: 'application/json' }),
  (req, res) => {
    const timestamp = req.get('x-projectnoti-timestamp') ?? '';
    const signature = req.get('x-projectnoti-signature') ?? '';
    const rawBody = req.body as Buffer;
 
    // 1. 서명 재계산: HMAC-SHA256(secret, "timestamp.rawBody")
    const expected = crypto
      .createHmac('sha256', WEBHOOK_SECRET)
      .update(`${timestamp}.${rawBody.toString('utf8')}`)
      .digest('hex');
 
    // 2. 상수 시간 비교 (타이밍 공격 방지)
    const valid =
      expected.length === signature.length &&
      crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(signature));
    if (!valid) return res.sendStatus(401);
 
    // 3. 리플레이 방지: timestamp 신선도 검사 (권장, 수신 측 책임)
    const ageSeconds = Math.abs(Math.floor(Date.now() / 1000) - Number(timestamp));
    if (!Number.isFinite(ageSeconds) || ageSeconds > 300) return res.sendStatus(401);
 
    // 4. 검증 통과 후에만 파싱
    const event = JSON.parse(rawBody.toString('utf8'));
 
    // 5. eventId로 멱등 처리 (재시도로 같은 이벤트가 중복 도착할 수 있습니다)
    // if (alreadyProcessed(event.eventId)) return res.sendStatus(200);
 
    // 처리는 비동기로 넘기고 빠르게 2xx 응답
    res.sendStatus(200);
    handleEvent(event).catch(console.error);
  },
);
 
async function handleEvent(event: { eventType: string; notificationRequestId: string }) {
  switch (event.eventType) {
    case 'notification.delivered':
      // ...
      break;
    case 'notification.failed':
      // ...
      break;
  }
}

{
  "webhooks": [
    {
      "id": "7f3b2a10-9c4d-4e5f-8a6b-1c2d3e4f5a6b",
      "name": "배송 알림 수신",
      "targetUrl": "https://example.com/webhooks/posmit",
      "eventTypes": ["notification.delivered", "notification.failed"],
      "enabled": true,
      "status": "active",
      "createdAt": "2026-07-10T09:00:00.000Z",
      "updatedAt": "2026-07-10T09:00:00.000Z"
    }
  ]
}

curl -X POST https://api.posmit.io/v1/webhooks \
  -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "배송 알림 수신",
    "targetUrl": "https://example.com/webhooks/posmit",
    "eventTypes": ["notification.delivered", "notification.failed"]
  }'

{
  "webhook": {
    "id": "7f3b2a10-9c4d-4e5f-8a6b-1c2d3e4f5a6b",
    "name": "배송 알림 수신",
    "targetUrl": "https://example.com/webhooks/posmit",
    "eventTypes": ["notification.delivered", "notification.failed"],
    "enabled": true,
    "status": "active",
    "secret": "0a1b2c3d4e5f60718293a4b5c6d7e8f90a1b2c3d4e5f60718293a4b5c6d7e8f9",
    "createdAt": "2026-07-10T09:00:00.000Z",
    "updatedAt": "2026-07-10T09:00:00.000Z"
  }
}

{
  "secret": "0a1b2c3d4e5f60718293a4b5c6d7e8f90a1b2c3d4e5f60718293a4b5c6d7e8f9"
}