Concepto

HMAC es un código calculado a partir del contenido del mensaje y de una clave secreta que solo la plataforma y tú conocen. Viaja en un encabezado, junto con el webhook.

De tu lado, recalculas el mismo código con la misma clave y lo comparas. Si coincide, la notificación es legítima y nadie alteró los datos en el camino. Si no coincide, la descartas.

Sin esa verificación, cualquier persona que descubra la dirección de tu webhook puede enviar una notificación falsa de venta aprobada y liberar el acceso a tu producto gratis.

Ejemplo de aplicación y uso

Tu webhook recibe una notificación de venta aprobada viniendo de la plataforma. Pero, ¿y si alguien descubre la dirección de tu webhook y envía una notificación falsa? Verificas el HMAC usando la clave secreta que solo tú y la plataforma conocen. Si no coincide, descartas.

El objetivo del marketing es conocer y entender al cliente tan bien que el producto le sirva y se venda solo.

Peter Drucker Fuente: Management: Tasks, Responsibilities, Practices.

HMAC es una firma criptográfica que prueba que el webhook vino de la plataforma y nadie alteró los datos. Sin esa verificación, cualquier persona envía notificación falsa de venta y liberas acceso gratis. Con ella, sabes que solo notificaciones legítimas pasan.