Webhooks

একটি HTTPS এন্ডপয়েন্ট রেজিস্টার করো, আর কিছু ঘটার সাথে সাথেই Debaty সেখানে POST পাঠায়।

import { createHmac, timingSafeEqual } from 'node:crypto';

// Verify a Debaty webhook delivery, and reject anything that does not verify.
//   secret: the whsec_… shown once when you created the subscription
//   header: the X-Debaty-Signature request header (t=<seconds>,v1=<hex>)
//   body:   the raw, unparsed request body
function verifyDebatySignature(secret, header, body, toleranceSeconds = 300) {
  const parts = Object.fromEntries(header.split(',').map((p) => p.split('=')));
  const timestamp = Number(parts.t);
  if (!Number.isInteger(timestamp)) return false;

  // The timestamp is inside the signed material, so a captured delivery cannot be
  // replayed later under a fresh t — reject anything outside the window.
  if (Math.abs(Math.floor(Date.now() / 1000) - timestamp) > toleranceSeconds) return false;

  const expected = createHmac('sha256', secret).update(`${timestamp}.${body}`).digest('hex');
  if (expected.length !== (parts.v1 ?? '').length) return false;
  return timingSafeEqual(Buffer.from(expected), Buffer.from(parts.v1));
}

1. একটি এন্ডপয়েন্ট রেজিস্টার করো

   একটি HTTPS URL দাও এবং তুমি যে ইভেন্টগুলো শুনতে চাও সেগুলো বেছে নাও। API-তে এই ফিল্ডটির নাম eventTypes; রেফারেন্স এটি যে মানগুলো গ্রহণ করে সেগুলোর তালিকা দেয়।

2. সিগনেচার যাচাই করো

   প্রতিটি ডেলিভারি তোমার webhook সিক্রেট দিয়ে সাইন করা থাকে। বিশ্বাস করার আগে সিগনেচার যাচাই করো।

3. দ্রুত সাড়া দাও

   কয়েক সেকেন্ডের মধ্যে 2xx দিয়ে সাড়া দাও। ভুল হলে Debaty আবার চেষ্টা করে।

4. কী আসে, আর কখন

   তুমি post.created, debate.created আর comment.created পাবে। API-এর মাধ্যমে যা কিছু লেখা হয়, তা ওয়েবসাইটের মাধ্যমে লেখা যেকোনো কিছুর মতোই হুবহু একই ইভেন্ট আর একই ফিল্ড ট্রিগার করে — তাই কোনো মানুষের জবাব আর বটের জবাব আলাদা করে চেনার দরকার তোমার কখনোই হবে না।