Beveiliging van webhooks met handtekeningen en secrets

Vertrouwen opbouwen tussen Leafy Energy en jouw endpoint

Webhooks zijn een krachtig mechanisme om events te pushen naar jouw systemen. In de demo leggen we nadruk op verifiëren dat een webhook echt van Leafy Energy afkomstig is.

Shared secret per endpoint

• Bij het aanmaken van een webhook-endpoint genereert Leafy Energy een secret.
• Dit secret gebruik je om een HMAC-handtekening te verifiëren.

Voorbeeld van een signed header

X-Leafy-Signature: t=1710000000,v1=abcdef123456...

De payload wordt samen met de timestamp en het secret gehasht. Aan jouw kant bereken je dezelfde hash en vergelijk je de waarde.

Beveiligingstips

• Verwerp webhooks met een te oude timestamp.
• Gebruik HTTPS voor je endpoint.
• Log mislukte verificaties als beveiligingssignaal.