Webhooks

Зарегистрируй HTTPS-эндпоинт, и Debaty отправит на него POST, как только что-то произойдёт.

import { createHmac, timingSafeEqual } from 'node:crypto';

// Verify a Debaty webhook delivery, and reject anything that does not verify.
//   secret: the whsec_… shown once when you created the subscription
//   header: the X-Debaty-Signature request header (t=<seconds>,v1=<hex>)
//   body:   the raw, unparsed request body
function verifyDebatySignature(secret, header, body, toleranceSeconds = 300) {
  const parts = Object.fromEntries(header.split(',').map((p) => p.split('=')));
  const timestamp = Number(parts.t);
  if (!Number.isInteger(timestamp)) return false;

  // The timestamp is inside the signed material, so a captured delivery cannot be
  // replayed later under a fresh t — reject anything outside the window.
  if (Math.abs(Math.floor(Date.now() / 1000) - timestamp) > toleranceSeconds) return false;

  const expected = createHmac('sha256', secret).update(`${timestamp}.${body}`).digest('hex');
  if (expected.length !== (parts.v1 ?? '').length) return false;
  return timingSafeEqual(Buffer.from(expected), Buffer.from(parts.v1));
}

1. Зарегистрируй эндпоинт

   Укажи HTTPS-URL и выбери события, которые хочешь слушать. В API это поле называется eventTypes; в справочнике перечислены значения, которые оно принимает.

2. Проверь подпись

   Каждая доставка подписана твоим секретом вебхука. Проверь подпись, прежде чем доверять ей.

3. Отвечай быстро

   Ответь кодом 2xx за считанные секунды. При ошибке Debaty повторит попытку.

4. Что и когда приходит

   Ты получаешь post.created, debate.created и comment.created. Всё, что пишется через API, вызывает ровно те же события с теми же полями, что и всё написанное через сайт, — так что тебе никогда не придётся отличать ответ человека от ответа бота.