Cách Paddle gửi webhook

Hành vi gửi

Lấy từ tài liệu của chính hãng, kiểm tra lần cuối 2026-08-06. Hãng không nêu con số nào thì bảng này cũng không ghi.

Chữ ký

Kiểm chứng bằng một bộ xác minh chạy thật, có bộ test chứng minh, chứ không đọc từ tài liệu. Kiểm chứng lần cuối 2026-08-20.

Xác minh

Dùng raw body của request, đúng từng byte, trước mọi bước parse JSON. Mọi cơ chế trên trang này đều hỏng ngay khi framework serialize lại payload.

const crypto = require("node:crypto");

// paddle-signature: "ts=1700000000;h1=abc..." — HMAC-SHA256 over "{ts}:{body}"
const pairs = Object.fromEntries(
  req.headers["paddle-signature"].split(";").map((p) => p.split("=")),
);
const expected = crypto
  .createHmac("sha256", secretKey) // per destination: pdl_ntfset_...
  .update(`${pairs.ts}:${rawBody}`)
  .digest("hex");
const received = Buffer.from(pairs.h1 ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

SDK của Paddle áp dụng dung sai dấu thời gian (timestamp) 5 giây, chặt nhất trong các bên gửi ở đây. Khi đứng sau một dịch vụ trung chuyển hay một hàng đợi, hãy so dấu thời gian với lúc sự kiện tới edge, không phải lúc worker của bạn xử lý tới nó.

Những chỗ dễ vấp

Đọc thêm

• Webhook Paddle và Lemon Squeezy so với Stripe
• Webhook trùng lặp nằm trong cam kết, không phải bug
• Bảng đầy đủ các nhà cung cấp