Verificar la firma

import crypto from "node:crypto"

const TOLERANCIA_SEGUNDOS = 5 * 60

export function verificarFirma(cuerpoCrudo, encabezado, secreto) {
  const partes = Object.fromEntries(
    encabezado.split(",").map((p) => {
      const i = p.indexOf("=")
      return [p.slice(0, i), p.slice(i + 1)]
    })
  )
  const t = Number(partes.t)
  if (!t || !partes.v1) return false
  if (Math.abs(Date.now() / 1000 - t) > TOLERANCIA_SEGUNDOS) return false

  const esperada = crypto.createHmac("sha256", secreto).update(`${partes.t}.${cuerpoCrudo}`).digest("hex")
  const a = Buffer.from(partes.v1, "hex")
  const b = Buffer.from(esperada, "hex")
  return a.length === b.length && crypto.timingSafeEqual(a, b)
}

// Con Express: app.post("/webhooks/eltick", express.raw({ type: "application/json" }), …)
// y verificarFirma(req.body.toString("utf8"), req.get("x-eltick-signature"), secreto)

import hashlib
import hmac
import time

TOLERANCIA_SEGUNDOS = 5 * 60

def verificar_firma(cuerpo_crudo: bytes, encabezado: str, secreto: str) -> bool:
    partes = dict(p.split("=", 1) for p in encabezado.split(",") if "=" in p)
    t, v1 = partes.get("t"), partes.get("v1")
    if not t or not v1:
        return False
    if abs(time.time() - int(t)) > TOLERANCIA_SEGUNDOS:
        return False
    esperada = hmac.new(secreto.encode(), f"{t}.".encode() + cuerpo_crudo, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperada, v1)

# Con Flask: verificar_firma(request.get_data(), request.headers["X-Eltick-Signature"], secreto)
# Con Django: verificar_firma(request.body, request.headers["X-Eltick-Signature"], secreto)

<?php
const TOLERANCIA_SEGUNDOS = 300;

function verificar_firma(string $cuerpoCrudo, string $encabezado, string $secreto): bool {
  $partes = [];
  foreach (explode(",", $encabezado) as $p) {
    [$k, $v] = array_pad(explode("=", $p, 2), 2, "");
    $partes[$k] = $v;
  }
  $t = $partes["t"] ?? "";
  $v1 = $partes["v1"] ?? "";
  if ($t === "" || $v1 === "") return false;
  if (abs(time() - (int) $t) > TOLERANCIA_SEGUNDOS) return false;

  $esperada = hash_hmac("sha256", $t . "." . $cuerpoCrudo, $secreto);
  return hash_equals($esperada, $v1);
}

// $ok = verificar_firma(file_get_contents("php://input"), $_SERVER["HTTP_X_ELTICK_SIGNATURE"] ?? "", getenv("ELTICK_WEBHOOK_SECRET"));