FAQ
Pourquoi la signature de mon webhook ne correspond-elle pas ?
Dans 9 cas sur 10, le code signe un objet JSON re-sérialisé au lieu du corps brut de la requête. Les frameworks parsent le JSON et, lors d'un nouveau stringify, les espaces, l'ordre des clés et l'échappement changent. Calculez toujours le HMAC sur les octets bruts reçus. Autres causes : mauvais secret (test ou live), hex au lieu de base64, préfixe horodaté (Stripe signe timestamp.body) ou comparaison d'hex en majuscules et minuscules.
Que fait « Find why it doesn't match » ?
Il essaie des centaines de combinaisons — algorithmes (SHA-1/256/384/512), encodages du secret (texte, hex, base64, Svix whsec_), variantes du corps (minifié, indenté, clés triées, saut de ligne final, styles JSON de PHP/Python, préfixes horodatés) et formats de sortie — et vous dit lequel le fournisseur a utilisé.
Est-il sûr de coller mon secret ?
Toute la signature se fait localement avec la Web Crypto API ; le secret ne quitte jamais votre navigateur. Le bouton IA n'envoie que le nom du fournisseur, les réglages et un extrait du corps — jamais le secret. Préférez tout de même des secrets de l'environnement de test.