Integración

const crypto = require('node:crypto');

// true si X-Webhook-Signature corresponde a este cuerpo y a tu secreto.
// cuerpoCrudo: el cuerpo tal como llegó (Buffer). No lo parsees antes.
function firmaValida(secreto, cuerpoCrudo, encabezado) {
  if (typeof encabezado !== 'string') return false;
  const recibida = encabezado.trim().replace(/^sha256=/i, '').toLowerCase();
  if (!/^[0-9a-f]{64}$/.test(recibida)) return false;
  const esperada = crypto.createHmac('sha256', secreto).update(cuerpoCrudo).digest('hex');
  return crypto.timingSafeEqual(Buffer.from(recibida, 'hex'), Buffer.from(esperada, 'hex'));
}

// Uso: si no es válida, respondé 401 y no hagas nada más.
if (!firmaValida(process.env.WEBHOOK_SECRET, cuerpoCrudo, req.headers['x-webhook-signature'])) {
  res.writeHead(401).end();
}

<?php
// true si X-Webhook-Signature corresponde a este cuerpo y a tu secreto.
function firmaValida(string $secreto, string $cuerpoCrudo, string $encabezado): bool
{
    $recibida = strtolower((string) preg_replace('/^sha256=/i', '', trim($encabezado)));
    if (!preg_match('/^[0-9a-f]{64}$/', $recibida)) { return false; }
    $esperada = hash_hmac('sha256', $cuerpoCrudo, $secreto);
    return hash_equals($esperada, $recibida);
}

// El cuerpo crudo sale de php://input: no lo rearmes con json_encode.
$cuerpo = file_get_contents('php://input');
if (!firmaValida(getenv('WEBHOOK_SECRET'), $cuerpo, $_SERVER['HTTP_X_WEBHOOK_SIGNATURE'] ?? '')) {
    http_response_code(401);
    exit;
}

import hashlib, hmac, re

def firma_valida(secreto: str, cuerpo_crudo: bytes, encabezado: str) -> bool:
    """True si X-Webhook-Signature corresponde a este cuerpo y a tu secreto."""
    recibida = re.sub(r"^sha256=", "", (encabezado or "").strip(), flags=re.I).lower()
    if not re.fullmatch(r"[0-9a-f]{64}", recibida):
        return False
    esperada = hmac.new(secreto.encode(), cuerpo_crudo, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperada, recibida)