webhook x-signature no se valida correctamente en prod, pero si en test

[thomrnowtea]

Acabo de implementar la siguiente funcion en mi server de NodeJS, que toma el header de x-signature, x-request-id y el data.id de la request para armar el manifest y asi validar la orden.

const {
  SECRET_MP: secret,
} = process.env;

async function verifySignature(signature, requestId, id) {
  const parts = signature.split(",");

  let ts;
  let hash;

  parts.forEach((part) => {
    const [key, value] = part.split("=");
    if (key && value) {
      const trimmedKey = key.trim();
      const trimmedValue = value.trim();
      if (trimmedKey === "ts") {
        ts = trimmedValue;
      } else if (trimmedKey === "v1") {
        hash = trimmedValue;
      }
    }
  });

  const manifest = `id:${id};request-id:${requestId};ts:${ts};`;

  const cyphedSignature = crypto
    .createHmac("sha256", secret)
    .update(manifest)
    .digest("hex");

  if (cyphedSignature === hash) {
    console.log(`Success!`)
    return true;
  } else {
    console.log(`Error: ${cyphedSignature}, ${hash}`)
    return true;
  }
}

app.post("/api/payments", async function (req, res) {
  const { query, headers } = req;

  const paymentId = query.id || query["data.id"];

  const xSignature = headers["x-signature"];
  const xRequestId = headers["x-request-id"];

  const verifiedSignature = await verifySignature(
    xSignature,
    xRequestId,
    paymentId
  );

  if (verifiedSignature === true) {
  // logica de validacion
  } else {
    console.log(`[${paymentId}] Authorization denied.`);
    res.sendStatus(401);
  }
});

Si corro el server de local, y mando simulaciones desde el area de webhooks de mi aplicacion al local, recibo un mensaje de "Success" ya que tanto el cyphedSignature como el hash que vino del header coinciden. Pero si lo mando al server en prod, recibo "Error" con cyphedSignature y hash distintos, pese a usar la misma clave secreta con la que se envia la simulacion. Ambas url, tanto de prueba como de prod, reciben la notificacion, pero una devuelve dos hash iguales y otra dos distintos.

[kelvincarvalhosilva]

Hello @thomrnowtea

Even though it is open, this space is not intended to be a support tool for unexpected platform errors and its integrations.
We have an official channel that is super prepared to solve your case quickly.
So, if the error still persists, gather all the information and go to the following link to share the issue with us:
https://www.mercadopago.com/developers/pt/support/center/contact

Thank you very much for your contact!

[matiasfdevecchi]

@thomrnowtea pudiste solucionarlo? Me está pasando lo mismo

[GeronimoGM]

Me pasa lo mismo, alguna actualización?

[thomrnowtea]

Me pasa lo mismo, alguna actualización?

En la misma, al final le tuve q sacar el verifySignature porque no sirve que me rechace incorrectamente las peticiones. Encima estuvo funcionando a mitad de año bien y despues se volvio a romper.

[GeronimoGM]

Estamos muchos con el mismo problema se ve, a mí ni siquiera me funciona en entorno de desarrollo. Para mí está mal documentado o las signature que te da la API están bugueadas.