Aikido Webhooks

Webhook認証

Aikido から届く Webhook が実際に Aikido 由来であり、かつそのペイロードが改ざんされていないことを確認するために、Aikido は共有した秘密鍵で署名したペイロードのハッシュを使用します。

Aikido は、Webhook リクエストを常に次の IP アドレスから送信します: 52.18.113.172。

Webhookスキーマ

Webhookスキーマは次で確認できます 弊社のAPIドキュメント.

Webhookシークレットの生成

1. 次へ移動し、 Webhooks統合ページ
2. 右側の表のすぐ上にある「Add secret」をクリックしてシークレットを作成します。 ​

   

   新しいWebhookの登録を促す空のWebhookダッシュボード。
3. Webhookシークレットが作成されると、シークレットをコピーして安全に保管できるモーダルが表示されます。このシークレットは安全に保管し、コードリポジトリのいずれにもコミットしないことが重要です

Webhookの検証

この一意のハッシュは、次の方法で含まれます: X-Aikido-Webhook-Signature リクエストヘッダーに含まれます。これにより、Webhook とそのペイロードが正当なものであることを検証できます。

リプレイ攻撃を防ぐため、HTTPリクエストを送信する直前のエポックタイムスタンプをWebhookペイロードに含めます。このタイムスタンプは、次のプロパティとして含まれます: dispatched_at プロパティであり、ペイロードを検証する際には30秒より古くなっていてはなりません。

お好みのプログラミング言語にかかわらず、受信Webhookを検証する手順は次のとおりです:

1. ペイロードが有効なJSON文字列であることを確認する
2. 署名を取得する X-Aikido-Webhook-Signature リクエストヘッダー
3. リクエストボディをJSON文字列に再度パースする
4. 文字列化したリクエストボディから、次の方法でHMACダイジェストを作成する: sha256 アルゴリズムを使用し、Aikido のWebhookシークレットで署名する
5. リクエストヘッダーの署名が、直前に生成したダイジェストと一致することを検証する。
6. 次のことを検証する: dispatched_at プロパティのエポックタイムスタンプが30秒より古くないこと

以下に、次を使用する場合にハッシュを検証する方法を示す疑似JavaScriptコードを紹介します: express フレームワーク。これはミドルウェアとして組み込むべきで、値が有効かどうかを確認するために追加の検証を行う必要があります。

const { createHmac } = require('node:crypto');

const express = require('express');
const bodyParser = require('body-parser');

const PORT = 4000;

const app = express();

app.use(bodyParser.json());

const isIncomingWebhookValid = (payload, signature) => {
	// 生のWebhookシークレットを環境変数から取得する
	const aikidoWebhookSecret = process.env.AIKIDO_WEBHOOK_SECRET;

	// HMACインスタンスを作成する
	const hmac = createHmac('sha256', aikidoWebhookSecret);

	// ペイロードオブジェクトをJSON文字列に変換する
	const rawPayload = JSON.stringify(payload);

	// 文字列化したペイロードでHMACの内容を更新する
	hmac.update(rawPayload);

	// HMACの内容のダイジェストを計算し、16進数値として返す
	const payloadDigest = hmac.digest('hex');

	// ダイジェストが指定された署名と一致しない場合、Webhookは無効
	if (payloadDigest !== signature) return false;

	// 現在のエポックタイムスタンプを取得する
	const currentEpochTimestamp = Math.floor(new Date().getTime() / 1000);
	
	// ペイロードの dispatched_at エポックタイムスタンプが30秒より古い場合、Webhookは無効
	if ((currentEpochTimestamp - (payload['dispatched_at'] ?? 0)) > 30) return false;

	// Webhookはすべてのチェックに合格しており、有効
	return true;
}

app.post('/webhooks/aikido/issue-created', async (req, res) => {
	const isValid = isIncomingWebhookValid(req.body, req.headers['X-Aikido-Webhook-Signature']);
	if (!isValid) {
		throw new Error(`リクエストの署名が無効です`)
	}
    
	// ビジネスロジック

    res.status(204);
});

app.listen(PORT, () => {
	console.log(`サーバーはポート ${port} で待機しています`);
});

---