Verifikator Tanda Tangan Webhook
Verifikasi tanda tangan GitHub, Stripe, Slack, Shopify, dan Standard Webhooks serta ketahui penyebab gagalnya
Masukan
Hanya disimpan di memori. Tidak pernah disimpan, dicatat, atau dikirim.
Satu baris "Nama: nilai" per header, atau objek JSON. Nama tidak peka huruf besar-kecil.
Header wajib
X-Hub-Signature-256Tidak ada
Kotak teks mengubah jeda baris CRLF menjadi LF. Jika byte persis penting, tempel isi sebagai Hex atau Base64, atau muat dari berkas.
Tempel permintaan HTTP mentah
Baris permintaan, header, satu baris kosong, lalu isi.
Hasil
Rincian
Apa yang diperiksa
Tempel pengiriman webhook (rahasia penandatanganan, header, dan isi mentah yang persis) untuk menghitung ulang tanda tangannya dengan aturan penyedia itu sendiri: X-Hub-Signature-256 dari GitHub, tanda tangan v0 Slack atas stempel waktu permintaan, HMAC Base64 Shopify, tanda tangan t= dan v1= Stripe (saat rotasi rahasia v1 mana pun boleh cocok), webhook-id, webhook-timestamp, dan webhook-signature dari Standard Webhooks dan Svix, serta HMAC umum yang dapat diatur. Validitas tanda tangan dan kebaruan stempel waktu dilaporkan terpisah.
Mengapa verifikasi gagal
Tanda tangan mencakup byte yang persis. Jika tanda tangan tidak cocok, alat ini mencoba ulang dengan kesalahan umum dan menyebutkan yang pertama cocok: baris baru di akhir yang bertambah atau hilang, konversi CRLF atau LF, JSON yang diurai lalu diserialisasi ulang, spasi di sekitar rahasia, rahasia whsec_ yang dipakai tanpa dekode Base64, atau skema penyedia lain. Header yang hilang, tanda tangan berformat salah, dan stempel waktu lama atau di masa depan masing-masing punya temuan sendiri.
Byte persis
Verifikasi selalu memakai isi mentah; pratinjau rapi hanya tampilan. Kotak teks mengubah jeda baris CRLF menjadi LF, jadi tempel isi sebagai Hex atau Base64 atau muat dari berkas bila byte persis penting. Isi hingga 5 MB dan rahasia hingga 64 KB diterima.
Privasi dan batasan
Semua berjalan di browser Anda dengan Web Crypto. Rahasia hanya ada di memori dan tidak pernah disimpan, dimasukkan ke URL, dicatat, atau dikirim; hanya penyedia dan toleransi yang diingat. Alat ini tidak mengirim ulang permintaan atau menghubungi penyedia, dan tidak memverifikasi tanda tangan asimetris seperti Standard Webhooks v1a (Ed25519).
