Seguridad de los webhooks

# Llave privada: guárdala en tu servidor, nunca la compartas
openssl genrsa -out tapipay-webhooks-privada.pem 2048

# Llave pública: esta es la que entregas a TapiPay
openssl rsa -in tapipay-webhooks-privada.pem -pubout -out tapipay-webhooks-publica.pem

import crypto from "node:crypto";
import express from "express";

const app = express();
const PRIVATE_KEY = process.env.TAPI_WEBHOOK_PRIVATE_KEY;
const CLIENT_USERNAME = process.env.TAPI_CLIENT_USERNAME;

function headerValido(valor, esperado) {
  if (!valor) return false;
  const a = Buffer.from(valor);
  const b = Buffer.from(esperado);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

function hashValido(notificacion) {
  if (!notificacion.hash) return false;
  try {
    const contenido = crypto
      .privateDecrypt(
        { key: PRIVATE_KEY, padding: crypto.constants.RSA_PKCS1_OAEP_PADDING, oaepHash: "sha1" },
        Buffer.from(notificacion.hash, "hex"),
      )
      .toString("utf8");
    const { clientUsername, operationId } = JSON.parse(contenido);
    // En órdenes y medio de pago registrado es `id`; en débito y tarjeta, `operationId`
    const identificador = notificacion.id ?? notificacion.operationId;
    return clientUsername === CLIENT_USERNAME && operationId === identificador;
  } catch {
    return false;
  }
}

app.post("/tapi/webhooks", express.json(), (req, res) => {
  // 1. Valida el origen antes de procesar
  if (!headerValido(req.header("x-api-key"), process.env.TAPI_WEBHOOK_KEY) || !hashValido(req.body)) {
    return res.sendStatus(401);
  }

  // 2. Responde rápido y procesa después
  res.sendStatus(200);
  encolar(req.body);
});