Webhooks

import json
from flask import request

# Reemplaza con la publicKey devuelta al registrar el webhook
PUBLIC_KEY = "YOUR_PUBLIC_KEY"

def callback_notice():
    # 1. Lee el cuerpo crudo y el header signature
    param = request.get_data(as_text=True)
    signature = request.headers.get("signature")

    # 2. Verifica RSA-SHA256 (la firma está codificada en hexadecimal)
    verified = sha256_rsa_verify(param, signature, PUBLIC_KEY)
    print(f"verified: {verified}")

    # 3. Confirma la recepción
    return json.dumps({
        "callbackStatus": "SUCCESS" if verified else "FAIL"
    })

def sha256_rsa_verify(data: str, signature: str, public_key_b64: str) -> bool:
    """
    Verifica una firma RSA-SHA256.

    :param data:           La cadena del cuerpo crudo de la solicitud que se firmó.
    :param signature:      Firma RSA-SHA256 codificada en hexadecimal tomada del header.
    :param public_key_b64: Clave pública RSA codificada en Base64 (X.509).
    :return:               True si la firma es válida, False en caso contrario.
    """
    from cryptography.hazmat.primitives import hashes, serialization
    from cryptography.hazmat.primitives.asymmetric import padding
    import base64

    try:
        pub_key_bytes = base64.b64decode(public_key_b64)
        public_key = serialization.load_der_public_key(pub_key_bytes)
        sig_bytes = bytes.fromhex(signature)
        public_key.verify(
            sig_bytes,
            data.encode("utf-8"),
            padding.PKCS1v15(),
            hashes.SHA256()
        )
        return True
    except Exception:
        return False

const crypto = require("crypto");

// Reemplaza con la publicKey devuelta al registrar el webhook
const PUBLIC_KEY = "YOUR_PUBLIC_KEY";

async function callbackNotice(req, res) {
    // 1. Lee el cuerpo crudo y el header signature
    const param = req.body; // cadena cruda: asegúrate de que body-parser esté configurado como 'text'
    const signature = req.headers["signature"];

    // 2. Verifica RSA-SHA256 (la firma está codificada en hexadecimal)
    const verified = verifyRSASHA256(param, signature, PUBLIC_KEY);
    console.log(`verified: ${verified}`);

    // 3. Confirma la recepción
    res.json({ callbackStatus: verified ? "SUCCESS" : "FAIL" });
}

function verifyRSASHA256(data, hexSignature, publicKeyB64) {
    try {
        // Reconstruye la clave pública en formato PEM a partir de Base64
        const pem = `-----BEGIN PUBLIC KEY-----\n${publicKeyB64}\n-----END PUBLIC KEY-----`;
        const verify = crypto.createVerify("RSA-SHA256");
        verify.update(data, "utf8");
        // Convierte la firma hexadecimal a Buffer
        const sigBuffer = Buffer.from(hexSignature, "hex");
        return verify.verify(pem, sigBuffer);
    } catch (err) {
        console.error(err);
        return false;
    }
}