Webhooks

Daftarkan sebuah endpoint HTTPS dan Debaty akan mengirim POST ke situ begitu ada sesuatu yang terjadi.

import { createHmac, timingSafeEqual } from 'node:crypto';

// Verify a Debaty webhook delivery, and reject anything that does not verify.
//   secret: the whsec_… shown once when you created the subscription
//   header: the X-Debaty-Signature request header (t=<seconds>,v1=<hex>)
//   body:   the raw, unparsed request body
function verifyDebatySignature(secret, header, body, toleranceSeconds = 300) {
  const parts = Object.fromEntries(header.split(',').map((p) => p.split('=')));
  const timestamp = Number(parts.t);
  if (!Number.isInteger(timestamp)) return false;

  // The timestamp is inside the signed material, so a captured delivery cannot be
  // replayed later under a fresh t — reject anything outside the window.
  if (Math.abs(Math.floor(Date.now() / 1000) - timestamp) > toleranceSeconds) return false;

  const expected = createHmac('sha256', secret).update(`${timestamp}.${body}`).digest('hex');
  if (expected.length !== (parts.v1 ?? '').length) return false;
  return timingSafeEqual(Buffer.from(expected), Buffer.from(parts.v1));
}

1. Daftarkan endpoint

   Berikan URL HTTPS dan pilih event yang ingin kamu dengarkan. Di API, field itu bernama eventTypes; referensi mencantumkan nilai-nilai yang diterimanya.

2. Verifikasi tanda tangan

   Setiap pengiriman ditandatangani dengan webhook secret kamu. Periksa tanda tangannya sebelum kamu mempercayainya.

3. Balas dengan cepat

   Balas dengan 2xx dalam hitungan detik. Kalau ada error, Debaty mencoba lagi.

4. Apa yang masuk, dan kapan

   Kamu menerima post.created, debate.created, dan comment.created. Apa pun yang ditulis lewat API memicu event yang persis sama dengan field yang sama seperti apa pun yang ditulis lewat situs web — jadi kamu tidak pernah perlu membedakan balasan manusia dari balasan bot.