Webhooks salientes de LotesEnVivoAlpha

const crypto = require("crypto");

// secret: la clave whsec_... de tu conexión (Backoffice > Webhooks > Generar nueva clave)
// header: el valor completo del header X-LotesEnVivo-Signature ("t=...,v1=...")
// rawBody: el cuerpo de la petición SIN parsear (string tal cual llegó, antes de JSON.parse)
function verifyLotesEnVivoSignature(secret, header, rawBody, toleranceSeconds = 300) {
  const parts = Object.fromEntries(
    header.split(",").map((part) => part.trim().split("="))
  );
  const timestamp = Number(parts.t);
  const signature = parts.v1;
  if (!timestamp || !signature) {
    throw new Error("Encabezado de firma con formato inválido.");
  }

  const age = Math.abs(Math.floor(Date.now() / 1000) - timestamp);
  if (age > toleranceSeconds) {
    throw new Error("La firma expiró (posible replay).");
  }

  const expected = crypto
    .createHmac("sha256", secret)
    .update(`${timestamp}.${rawBody}`, "utf8")
    .digest("hex");

  const expectedBuffer = Buffer.from(expected, "hex");
  const receivedBuffer = Buffer.from(signature, "hex");
  const valid =
    expectedBuffer.length === receivedBuffer.length &&
    crypto.timingSafeEqual(expectedBuffer, receivedBuffer);

  if (!valid) throw new Error("La firma no coincide.");
  return true;
}

// Ejemplo de uso en un endpoint Express. IMPORTANTE: usa el body crudo (raw), no el JSON ya
// parseado — la firma se calcula sobre el string exacto que enviamos.
// alreadyProcessed, handleWebhookEvent y markProcessed son de ejemplo: reemplázalas por tu
// propia lógica (tu base de datos, tu CRM, etc.) — ver el endpoint completo en la sección
// "Receptor completo, listo para pegar".
app.post(
  "/webhooks/lotesenvivo",
  express.raw({ type: "application/json" }),
  async (req, res) => {
    try {
      verifyLotesEnVivoSignature(
        process.env.LOTESENVIVO_WEBHOOK_SECRET,
        req.header("X-LotesEnVivo-Signature"),
        req.body.toString("utf8")
      );
    } catch (error) {
      return res.status(401).json({ error: error.message });
    }

    const eventId = req.header("X-LotesEnVivo-Event-Id");
    const eventType = req.header("X-LotesEnVivo-Event-Type");
    const envelope = JSON.parse(req.body.toString("utf8"));

    // Deduplica por eventId antes de procesar: un mismo evento puede llegar más de una vez
    // si hubo reintentos (ver sección "Reintentos y deduplicación").
    if (await alreadyProcessed(eventId)) {
      return res.status(200).send("ok");
    }

    await handleWebhookEvent(eventType, envelope.data);
    await markProcessed(eventId);

    res.status(200).send("ok");
  }
);

<?php
// secret: la clave whsec_... de tu conexión (Backoffice > Webhooks > Generar nueva clave)
// $header: el valor completo del header X-LotesEnVivo-Signature ("t=...,v1=...")
// $rawBody: el cuerpo de la petición sin parsear (file_get_contents("php://input"))
function verify_lotesenvivo_signature(
    string $secret,
    string $header,
    string $rawBody,
    int $toleranceSeconds = 300
): bool {
    $parts = [];
    foreach (explode(",", $header) as $pair) {
        [$key, $value] = array_map("trim", explode("=", $pair, 2));
        $parts[$key] = $value;
    }

    $timestamp = isset($parts["t"]) ? (int) $parts["t"] : 0;
    $signature = $parts["v1"] ?? "";
    if (!$timestamp || !$signature) {
        throw new Exception("Encabezado de firma con formato inválido.");
    }

    $age = abs(time() - $timestamp);
    if ($age > $toleranceSeconds) {
        throw new Exception("La firma expiró (posible replay).");
    }

    $expected = hash_hmac("sha256", "{$timestamp}.{$rawBody}", $secret);

    // hash_equals ya compara en tiempo constante.
    if (!hash_equals($expected, $signature)) {
        throw new Exception("La firma no coincide.");
    }

    return true;
}

// Ejemplo de uso en un endpoint plano (webhook.php).
// already_processed, handle_webhook_event y mark_processed son de ejemplo: reemplázalas por tu
// propia lógica (tu base de datos, tu CRM, etc.) — ver el endpoint completo en la sección
// "Receptor completo, listo para pegar".
$rawBody = file_get_contents("php://input");
$header = $_SERVER["HTTP_X_LOTESENVIVO_SIGNATURE"] ?? "";
$secret = getenv("LOTESENVIVO_WEBHOOK_SECRET");

try {
    verify_lotesenvivo_signature($secret, $header, $rawBody);
} catch (Exception $e) {
    http_response_code(401);
    echo json_encode(["error" => $e->getMessage()]);
    exit;
}

$eventId = $_SERVER["HTTP_X_LOTESENVIVO_EVENT_ID"] ?? "";
$eventType = $_SERVER["HTTP_X_LOTESENVIVO_EVENT_TYPE"] ?? "";
$envelope = json_decode($rawBody, true);

// Deduplica por $eventId antes de procesar: un mismo evento puede llegar más de una vez
// si hubo reintentos (ver sección "Reintentos y deduplicación").
if (already_processed($eventId)) {
    http_response_code(200);
    echo "ok";
    exit;
}

handle_webhook_event($eventType, $envelope["data"]);
mark_processed($eventId);

http_response_code(200);
echo "ok";

const express = require("express");
const crypto = require("crypto");

const app = express();

// CRÍTICO: NO uses app.use(express.json()) en esta ruta. express.json() parsea el body y
// descarta el string original — sin el raw body exacto, la firma nunca va a coincidir.
// express.raw() te da el Buffer tal cual llegó por HTTP, que es lo que necesitas.
app.post(
  "/webhooks/lotesenvivo",
  express.raw({ type: "application/json" }),
  async (req, res) => {
    const rawBody = req.body.toString("utf8");
    const header = req.header("X-LotesEnVivo-Signature");

    try {
      verifyLotesEnVivoSignature(process.env.LOTESENVIVO_WEBHOOK_SECRET, header, rawBody);
    } catch (error) {
      // Firma inválida: rechaza. Esto NO cuenta como entrega fallida para efectos de reintento
      // "normal" del lado de LotesEnVivo, pero tampoco proceses el evento.
      return res.status(401).json({ error: error.message });
    }

    // Responde 200 YA, antes de hacer cualquier trabajo pesado. Si tu lógica (llamadas a tu CRM,
    // a una base de datos, etc.) tarda más de un par de segundos, hazla en background después de
    // responder — no antes. Ver sección "Qué debe responder tu endpoint".
    res.status(200).send("ok");

    const eventId = req.header("X-LotesEnVivo-Event-Id");
    const eventType = req.header("X-LotesEnVivo-Event-Type");
    const envelope = JSON.parse(rawBody);

    if (await alreadyProcessed(eventId)) return; // Deduplica: ver sección de reintentos.

    await handleWebhookEvent(eventType, envelope.data);
    await markProcessed(eventId);
  }
);

app.listen(3000);

// La misma función de la sección "Cómo verificar la firma".
function verifyLotesEnVivoSignature(secret, header, rawBody, toleranceSeconds = 300) {
  const parts = Object.fromEntries(header.split(",").map((part) => part.trim().split("=")));
  const timestamp = Number(parts.t);
  const signature = parts.v1;
  if (!timestamp || !signature) throw new Error("Encabezado de firma con formato inválido.");

  const age = Math.abs(Math.floor(Date.now() / 1000) - timestamp);
  if (age > toleranceSeconds) throw new Error("La firma expiró (posible replay).");

  const expected = crypto
    .createHmac("sha256", secret)
    .update(`${timestamp}.${rawBody}`, "utf8")
    .digest("hex");

  const expectedBuffer = Buffer.from(expected, "hex");
  const receivedBuffer = Buffer.from(signature, "hex");
  const valid =
    expectedBuffer.length === receivedBuffer.length &&
    crypto.timingSafeEqual(expectedBuffer, receivedBuffer);

  if (!valid) throw new Error("La firma no coincide.");
  return true;
}

<?php
// webhook.php — endpoint completo, listo para colocar detrás de tu servidor HTTPS.
// PHP nunca "parsea" el body por ti antes de que tu código corra, así que aquí no hay
// equivalente al error de express.json(): file_get_contents("php://input") siempre te da el
// raw body exacto. Aun así, evita llamar a json_decode() antes de verificar la firma.

$rawBody = file_get_contents("php://input");
$header = $_SERVER["HTTP_X_LOTESENVIVO_SIGNATURE"] ?? "";
$secret = getenv("LOTESENVIVO_WEBHOOK_SECRET");

try {
    verify_lotesenvivo_signature($secret, $header, $rawBody);
} catch (Exception $e) {
    http_response_code(401);
    echo json_encode(["error" => $e->getMessage()]);
    exit;
}

// Responde 200 YA. Si tu procesamiento es lento, encólalo (una tabla de "jobs", una cola real,
// etc.) y procésalo aparte — no hagas esperar la respuesta HTTP a que termine.
http_response_code(200);
echo "ok";

// A partir de aquí ya respondiste; lo que sigue puede tardar sin arriesgar un timeout.
$eventId = $_SERVER["HTTP_X_LOTESENVIVO_EVENT_ID"] ?? "";
$eventType = $_SERVER["HTTP_X_LOTESENVIVO_EVENT_TYPE"] ?? "";
$envelope = json_decode($rawBody, true);

if (already_processed($eventId)) {
    exit; // Deduplica: ver sección de reintentos.
}

handle_webhook_event($eventType, $envelope["data"]);
mark_processed($eventId);

// La misma función de la sección "Cómo verificar la firma".
function verify_lotesenvivo_signature(
    string $secret,
    string $header,
    string $rawBody,
    int $toleranceSeconds = 300
): bool {
    $parts = [];
    foreach (explode(",", $header) as $pair) {
        [$key, $value] = array_map("trim", explode("=", $pair, 2));
        $parts[$key] = $value;
    }

    $timestamp = isset($parts["t"]) ? (int) $parts["t"] : 0;
    $signature = $parts["v1"] ?? "";
    if (!$timestamp || !$signature) {
        throw new Exception("Encabezado de firma con formato inválido.");
    }

    $age = abs(time() - $timestamp);
    if ($age > $toleranceSeconds) {
        throw new Exception("La firma expiró (posible replay).");
    }

    $expected = hash_hmac("sha256", "{$timestamp}.{$rawBody}", $secret);

    if (!hash_equals($expected, $signature)) {
        throw new Exception("La firma no coincide.");
    }

    return true;
}

# Instala ngrok (https://ngrok.com/download) e inicia sesión una vez con tu authtoken.
# Con tu servidor local corriendo en el puerto 3000:
ngrok http 3000

# ngrok imprime una URL pública HTTPS, algo como:
#   https://a1b2-201-150-XX-XX.ngrok-free.app -> http://localhost:3000
# Usa esa URL (agregando tu ruta, ej. /webhooks/lotesenvivo) al crear la conexión en el backoffice.

# Alternativa sin cuenta: Cloudflare Tunnel (cloudflared).
cloudflared tunnel --url http://localhost:3000

# Imprime una URL pública HTTPS tipo https://algo-al-azar.trycloudflare.com
# que reenvía a tu servidor local — úsala igual que la de ngrok.