Conceito

HMAC é um código calculado a partir do conteúdo da mensagem e de uma chave secreta que só a plataforma e você conhecem. Ele viaja num cabeçalho, junto do webhook.

Do seu lado, você recalcula o mesmo código com a mesma chave e compara. Se bater, a notificação é legítima e ninguém alterou os dados no caminho. Se não bater, você descarta.

Sem essa verificação, qualquer pessoa que descubra o endereço do seu webhook pode enviar uma notificação falsa de venda aprovada e liberar acesso ao seu produto de graça.

Exemplo de aplicação e uso

Seu webhook recebe uma notificação de venda aprovada vindo da plataforma. Mas e se alguém descobrir o endereço do seu webhook e enviar uma notificação falsa? Você verifica o HMAC usando a chave secreta que só você e a plataforma conhecem. Se não bater, descarta.

Demonstre às pessoas que você pode ajudá-las, ajudando-as de verdade.

Frank Kern Fonte: conteúdos do autor sobre Intent-Based Branding.

HMAC é uma assinatura criptográfica que prova que o webhook veio mesmo da plataforma e ninguém alterou os dados. Sem essa verificação, qualquer pessoa envia notificação falsa de venda e você libera acesso de graça. Com ela, você sabe que só notificações legítimas passam.