Intercom の Webhook 配信の仕組み

配信の挙動

プロバイダーの公式ドキュメントから読み取っています（最終確認 2026-08-06）。プロバイダーが数値を示していない項目には、この表も数値を載せていません。

署名

ドキュメントを読んだだけではなく、テストスイートで裏付けた動作する検証コードで確認しています。最終検証日は 2026-08-20 です。

検証する

JSON としてパースする前の生のリクエストボディを、バイト単位でそのまま使います。フレームワークがペイロードを再シリアライズした時点で、このページのどの方式も検証に失敗します。

const crypto = require("node:crypto");

// x-hub-signature: "sha1=" + hex(HMAC-SHA1(client secret, raw body))
const expected =
  "sha1=" +
  crypto.createHmac("sha1", clientSecret).update(rawBody).digest("hex");
const received = Buffer.from(req.headers["x-hub-signature"] ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

落とし穴

あわせて読む

• プロバイダーごとの Webhook 署名検証
• 全プロバイダーの一覧表