Sécurisez vos webhooks : deux vérifications pour valider les données Nylas
Les webhooks Nylas envoient des données vers votre URL publique, mais sans vérification, toute requête POST – légitime ou non – peut déclencher des actions dans votre application. Pour garantir l’authenticité des données reçues, implémentez deux vérifications : un défi ponctuel d’endpoint lors de l’enregistrement du webhook, et une signature cryptographique sur chaque charge utile entrante. Négliger l’une ou l’autre expose votre endpoint à des événements falsifiés.
L’échange qui prouve la propriété
Lors de l’activation initiale d’un webhook Nylas, le service envoie une requête GET à votre endpoint avec une valeur de défi unique dans l’URL. Votre code doit répondre avec un code 200 OK contenant ce défi exact sous 10 secondes. Cet échange confirme que vous maîtrisez l’endpoint et qu’il est accessible. Avec Express, le gestionnaire est simple :
app.get('/webhooks/nylas', (req, res) => { res.status(200).send(req.query.challenge); });
Ne renvoyez que la valeur du défi – sans enveloppe JSON, ni espace superflu. Une fois cette étape validée, le webhook devient actif. Notez que certaines plateformes hébergées masquent le paramètre de défi, rendant la vérification automatique impossible ; dans ces cas, une assistance technique est nécessaire.
Chaque charge utile porte un sceau cryptographique
Après l’échange, Nylas génère un secret lié à votre endpoint spécifique. Ce secret sert à signer chaque charge utile sortante et à vérifier les requêtes entrantes. Votre serveur doit recalculer la signature avec le même secret et la comparer à celle fournie dans l’en-tête. En cas de correspondance, la charge utile est authentique et intacte.
Pour tester les signatures sans déployer de serveur, le CLI de Nylas offre une méthode rapide pour valider le processus localement. Cette approche en deux couches – confirmation de propriété à la configuration et authentification des charges utiles à la livraison – bloque à la fois les erreurs de configuration accidentelles et les falsifications intentionnelles. Ignorer ces vérifications transforme votre endpoint public en une faille potentielle, une erreur fréquente dans la sécurité des webhooks.
Source : DEV Community. Synthèse éditoriale assistée par IA — TechnoExpress.