Webhooks & Callbacks

import crypto from "crypto";
import express from "express";

const app = express();
const WEBHOOK_SECRET = process.env.DOLAPAY_WEBHOOK_SECRET;

app.post("/webhooks/dolapay", express.raw({ type: "application/json" }), (req, res) => {
  const signatureHeader = req.headers["x-dolapay-signature"];
  const payload = req.body.toString();
  
  // 1. Extraire le timestamp et la signature du header
  const parts = signatureHeader.split(',');
  const timestamp = parts.find((p: string) => p.startsWith('t=')).split('=')[1];
  const signature = parts.find((p: string) => p.startsWith('v1=')).split('=')[1];
  
  // 2. Recréer la chaîne à signer : "timestamp.payload"
  const signedPayload = `${timestamp}.${payload}`;
  
  // 3. Calculer le HMAC SHA-256 avec votre Webhook Secret
  const expectedSignature = crypto
    .createHmac('sha256', WEBHOOK_SECRET)
    .update(signedPayload)
    .digest('hex');
    
  // 4. Comparer les signatures de manière sécurisée
  if (crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expectedSignature))) {
    const event = JSON.parse(payload);
    
    // Traiter les événements d'encaissement (Paiement)
    if (event.type === "transaction.success") {
      console.log("Paiement validé :", event.data.id);
      // Valider la commande du client...
    }
    
    // Traiter les événements de décaissement (Retrait API)
    if (event.type === "payout.success") {
      console.log("Retrait API effectué avec succès :", event.data.id);
      // Mettre à jour le statut du retrait côté serveur...
    }
    
    // Il est très important de répondre avec un 200 OK rapidement
    res.status(200).send("Webhook reçu");
  } else {
    res.status(401).send("Signature invalide");
  }
});