Confira a assinatura — sempre

A URL do seu webhook não é secreta: ela aparece em log de proxy, em ferramenta de monitoramento, no histórico de quem a configurou. Sem conferir a assinatura, qualquer pessoa que descubra o endereço consegue inventar um evento no seu sistema.

Cada pedido da Orian traz o cabeçalho X-Tino-Assinatura: t=<instante>,v1=<hmac>. O que é assinado é instante.corpo — o instante entra na conta justamente para um pedido capturado não poder ser reenviado depois.

const [t, v1] = cabecalho.split(",").map(p => p.split("=")[1]);
const esperado = crypto.createHmac("sha256", SEGREDO)
  .update(`${t}.${corpoCru}`).digest("hex");

// tempo constante — nunca ===
if (!crypto.timingSafeEqual(Buffer.from(esperado), Buffer.from(v1))) recusar();
if (Math.abs(Date.now()/1000 - Number(t)) > 300) recusar(); // reenvio

Use o corpo cru, antes de qualquer conversão para JSON: reserializar muda espaços e ordem de campos, e a assinatura deixa de bater.

Quando dá errado

• · Tentamos de novo em 1, 5, 30, 120, 360 minutos e paramos. Depois disso a entrega fica marcada como falha aqui na tela — não some.
• · 404 e 410 não são retentados. Endereço errado não melhora com insistência, e insistir atrasa os eventos seguintes da fila.
• · Depois de 20 falhas seguidas o webhook se pausa. Continuar batendo num servidor que não volta seria um ataque nosso contra a sua infra. Você religa aqui quando resolver.
• · O mesmo fato nunca vira dois eventos. Uma retentativa nossa carrega o mesmo X-Tino-Entrega, então dá para deduplicar do seu lado sem comparar conteúdo.