Je reçois des notifications de paiement Wave sur mon serveur. Comment m'assurer qu'elles viennent bien de Wave et pas d'un tiers qui devine mon URL ?
Vérifiez la signature fournie dans l'en-tête avec un HMAC calculé sur le corps brut de la requête avec votre secret, et comparez avec hash_equals pour éviter les attaques temporelles. Attention : calculez le HMAC sur le corps brut ($request->getContent()), pas sur le JSON re-sérialisé.
En complément, limitez par IP si l'opérateur publie ses adresses, et rejetez les requêtes dont l'horodatage est trop ancien pour bloquer le rejeu.
Vous connaissez la réponse ? Rejoignez Griot pour aider.
Publier
Poser une question Obtenir de l'aide de la communauté Publier un composant Partager un SDK, un wrapper ou un package Proposer un troc Échanger une heure d'aide contre une autre Créer une prime Récompenser une solution en Mobile Money Organiser un hackathon Lancer un défi pour la communauté