B2B Webhooks

KEY="sk_live_..."
B="https://fin-os.io/api/v1"

# 1. Подписка на события контура кошельков
curl -X POST $B/webhooks \
  -H "Authorization: Bearer $KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "url": "https://your-app.com/webhooks/finos",
    "events": [
      "customer.deposit.detected",
      "customer.deposit.confirmed",
      "customer.deposit.frozen",
      "customer.withdrawal.sent",
      "customer.withdrawal.confirmed",
      "customer.withdrawal.failed",
      "merchant.balance.low"
    ]
  }'
# Сохраните "secret" из ответа - он больше не показывается

# 2. Проверить канал
curl -X POST $B/webhooks/$ID/test -H "Authorization: Bearer $KEY"

# 3. Временно отключить доставку, не удаляя подписку
curl -X PATCH $B/webhooks/$ID \
  -H "Authorization: Bearer $KEY" \
  -H "Content-Type: application/json" \
  -d '{"active": false}'

# 4. Ротация секрета (старый перестаёт действовать немедленно)
curl -X POST $B/webhooks/$ID/rotate-secret -H "Authorization: Bearer $KEY"

// Express: сырое тело обязательно, иначе подпись не сойдётся
import express from 'express';
import crypto from 'crypto';

const app     = express();
const SECRET  = process.env.FINOS_WEBHOOK_SECRET;
const seen    = new Set(); // в проде - постоянное хранилище

app.post('/webhooks/finos', express.raw({ type: 'application/json' }), (req, res) => {
  const signature = Buffer.from(req.header('X-FinOs-Signature') || '');
  const expected  = Buffer.from(
    'sha256=' + crypto.createHmac('sha256', SECRET).update(req.body).digest('hex')
  );

  if (signature.length !== expected.length ||
      !crypto.timingSafeEqual(signature, expected)) {
    return res.status(401).send('Invalid signature');
  }

  // Дедупликация до разбора тела - id продублирован в заголовке
  const eventId = req.header('X-FinOs-Event-Id');
  if (seen.has(eventId)) return res.sendStatus(200);
  seen.add(eventId);

  const event = JSON.parse(req.body.toString());

  // Отвечаем сразу, обрабатываем в своей очереди: бюджет ответа - 10 секунд
  queue.push(event);
  res.sendStatus(200);
});

// Laravel: контроллер приёма вебхуков
class FinosWebhookController extends Controller
{
    public function handle(Request $request)
    {
        $expected = 'sha256=' . hash_hmac(
            'sha256',
            $request->getContent(),                       // сырое тело, не перекодированный JSON
            config('services.finos.webhook_secret'),
        );

        if (! hash_equals($expected, (string) $request->header('X-FinOs-Signature'))) {
            abort(401, 'Invalid signature');
        }

        $event = $request->json()->all();

        // Повтор доставки - штатная ситуация: id не меняется между попытками
        if (WebhookEvent::where('event_id', $event['id'])->exists()) {
            return response()->noContent();
        }

        WebhookEvent::create(['event_id' => $event['id'], 'type' => $event['type']]);

        match ($event['type']) {
            'customer.deposit.confirmed'    => CreditOrder::dispatch($event['data']),
            'customer.deposit.frozen'       => NotifyCompliance::dispatch($event['data']),
            'customer.withdrawal.confirmed' => CloseWithdrawal::dispatch($event['data']),
            'customer.withdrawal.failed'    => ReopenWithdrawal::dispatch($event['data']),
            'merchant.balance.low'          => TopUpServiceBalance::dispatch($event['data']),
            default                         => logger()->info('Unhandled webhook', $event),
        };

        return response()->noContent();   // 204 тоже 2xx
    }
}

# Flask
import hmac, hashlib, os
from flask import Flask, request, abort

app    = Flask(__name__)
SECRET = os.environ['FINOS_WEBHOOK_SECRET'].encode()
seen   = set()  # в проде - постоянное хранилище

@app.route('/webhooks/finos', methods=['POST'])
def handle():
    expected = 'sha256=' + hmac.new(SECRET, request.data, hashlib.sha256).hexdigest()

    if not hmac.compare_digest(request.headers.get('X-FinOs-Signature', ''), expected):
        abort(401)

    event_id = request.headers.get('X-FinOs-Event-Id')
    if event_id in seen:
        return '', 200
    seen.add(event_id)

    event = request.get_json()
    data  = event['data']

    if event['type'] == 'customer.deposit.confirmed':
        credit_order(data['customer_uuid'], data['asset'], data['amount'])
    elif event['type'] == 'customer.withdrawal.failed':
        reopen_withdrawal(data['withdrawal_id'])
    elif event['type'] == 'merchant.balance.low':
        top_up_service_balance(data['balance'], data['threshold'])

    # Отвечаем сразу: бюджет ответа - 10 секунд
    return '', 200