webhook x-signature no se valida correctamente en prod, pero si en test

[thomrnowtea]

Acabo de implementar la siguiente funcion en mi server de NodeJS, que toma el header de x-signature, x-request-id y el data.id de la request para armar el manifest y asi validar la orden.

const {
  SECRET_MP: secret,
} = process.env;

async function verifySignature(signature, requestId, id) {
  const parts = signature.split(",");

  let ts;
  let hash;

  parts.forEach((part) => {
    const [key, value] = part.split("=");
    if (key && value) {
      const trimmedKey = key.trim();
      const trimmedValue = value.trim();
      if (trimmedKey === "ts") {
        ts = trimmedValue;
      } else if (trimmedKey === "v1") {
        hash = trimmedValue;
      }
    }
  });

  const manifest = `id:${id};request-id:${requestId};ts:${ts};`;

  const cyphedSignature = crypto
    .createHmac("sha256", secret)
    .update(manifest)
    .digest("hex");

  if (cyphedSignature === hash) {
    console.log(`Success!`)
    return true;
  } else {
    console.log(`Error: ${cyphedSignature}, ${hash}`)
    return true;
  }
}

app.post("/api/payments", async function (req, res) {
  const { query, headers } = req;

  const paymentId = query.id || query["data.id"];

  const xSignature = headers["x-signature"];
  const xRequestId = headers["x-request-id"];

  const verifiedSignature = await verifySignature(
    xSignature,
    xRequestId,
    paymentId
  );

  if (verifiedSignature === true) {
  // logica de validacion
  } else {
    console.log(`[${paymentId}] Authorization denied.`);
    res.sendStatus(401);
  }
});

Si corro el server de local, y mando simulaciones desde el area de webhooks de mi aplicacion al local, recibo un mensaje de "Success" ya que tanto el cyphedSignature como el hash que vino del header coinciden. Pero si lo mando al server en prod, recibo "Error" con cyphedSignature y hash distintos, pese a usar la misma clave secreta con la que se envia la simulacion. Ambas url, tanto de prueba como de prod, reciben la notificacion, pero una devuelve dos hash iguales y otra dos distintos.

[kelvincarvalhosilva]

Hello @thomrnowtea

Even though it is open, this space is not intended to be a support tool for unexpected platform errors and its integrations.
We have an official channel that is super prepared to solve your case quickly.
So, if the error still persists, gather all the information and go to the following link to share the issue with us:
https://www.mercadopago.com/developers/pt/support/center/contact

Thank you very much for your contact!

[matiasfdevecchi]

@thomrnowtea pudiste solucionarlo? Me está pasando lo mismo

[GeronimoGM]

Me pasa lo mismo, alguna actualización?

[thomrnowtea]

Me pasa lo mismo, alguna actualización?

En la misma, al final le tuve q sacar el verifySignature porque no sirve que me rechace incorrectamente las peticiones. Encima estuvo funcionando a mitad de año bien y despues se volvio a romper.

[GeronimoGM]

Estamos muchos con el mismo problema se ve, a mí ni siquiera me funciona en entorno de desarrollo. Para mí está mal documentado o las signature que te da la API están bugueadas.

[GeronimoGM]

Pregunté en el discord de Mercado Pago en el foro de Checkout Pro y un brasilero me dió la solución. Lo explicaría por acá pero realmente no entiendo muy bien, si quieren ver como solucionarlo, el título del tópico es "No puedo validar el origen de una notificación webhook" creado por Germi32 (yo). El código está en C# pero yo lo pude transformar a Java y me funcionó, supongo que con Node será parecido. Saludos y suerte.

[Andres6936]

Para el que siga presentado problemas le puedo ofrecer esta sección de código que funciona tanto en PROD como TEST.

import crypto from 'crypto';

function verifySignatureOfProvider(signature: string | null, xRequestId: string | null, dataId: string | null): boolean {
    if (isEmptyOrNull(signature) || isEmptyOrNull(xRequestId) || isEmptyOrNull(dataId)) {
        return false;
    }

    const [timestamp, xSignature] = signature!.split(',');
    const [, valueOfTimestamp] = timestamp.split('=');
    const [, valueOfXSignature] = xSignature.split('=');

    const signatureTemplateParsed = `id:${dataId};request-id:${xRequestId};ts:${valueOfTimestamp};`
    const cyphedSignature = crypto
        .createHmac('sha256', process.env.MERCADO_PAGO_CHECKOUT_API_WEBHOOK_SECRET!)
        .update(signatureTemplateParsed)
        .digest('hex');

    return valueOfXSignature == cyphedSignature;
}

[facundocabrera]

Regenere el token y salio andando.

[brianmontero]

Alguien más pudo resolver este problema? es como la 5ta vez que regenero el secret del webhook y sigue fallando, también intenté la impl del comentario de arriba pero no me anda tampoco...