Aanmelden met een webhook-handtekening (HMAC)
Webhooks van betaalproviders, webwinkels en Git-platforms (Stripe, Shopify, GitHub) melden zich niet aan met een sleutel, maar ondertekenen elk bericht: een HMAC over de body met een gedeeld geheim, in een header. Flow rekent die handtekening zelf na. U maakt een beleid met webhook-handtekening en ziet een onondertekend bericht stranden en een ondertekend bericht binnenkomen.
Open uw ontwikkelomgeving
Klik in de portal bij Omgevingen op Ontwikkeling, en daar op Openen. Flow opent in een nieuw tabblad, en u bent meteen ingelogd.
- Klik op Ontwikkeling
- Klik op Openen ↗
Een beleid met webhook-handtekening
Onder Beveiliging maakt u een beleid: API-sleutel uit, Webhook-handtekening aan. Vul in welke header de afzender gebruikt, met welk voorvoegsel, en het gedeelde geheim dat de afzender u gaf. Het geheim is daarna nooit meer leesbaar.
- Klik op Beveiliging
- Klik op Nieuw beveiligingsbeleid
- Vul in bij Naam:
Betaalprovider (webhook)
- Klik op API-sleutel X-API-Key of Bearer flw_…
- Klik op Webhook-handtekening HMAC over de body (GitHub, Stripe, Shopify-stijl)
- Vul in bij Handtekening-header:
X-Signature - Vul in bij Voorvoegsel:
sha256= - Vul in bij Geheim:
••••••••
- Klik op Beleid opslaan
Hang het beleid aan de API
Open de API, kies het beleid en sla op. Het endpoint POST /webhook ontvangt voortaan alleen berichten met een kloppende handtekening. Een handtekening bewijst wie het stuurt, maar geeft geen rechten: een endpoint dat een recht (scope) eist, laat een webhook niet binnen.
- Klik op Verkenner
- Klik op de API
- Kies bij Beveiligingsbeleid: Betaalprovider (webhook)
- Klik op API opslaan
Zonder handtekening: 401
In API testen kiest u het endpoint en stuurt u een bericht zonder handtekening, zoals iemand die de webhook nadoet. De gateway antwoordt 401 en de workflow draait niet.
- Klik op API testen
- Klik op het endpoint
- Klik op Geen
- Klik op Code
- Vul in bij Body:
{"event": "payment.paid", "order": "1042", "amount": 86}
- Klik op ▶ Verstuur
Met handtekening: binnen
De afzender rekent de HMAC-SHA256 over precies de body die hij verstuurt, met het gedeelde geheim, en zet hem met het voorvoegsel in de header. Hier doet u dat na: de header X-Signature met de juiste waarde. Nu antwoordt de gateway 200.
- Klik op Geen
- Klik op ＋ Toevoegen
- Vul in bij Naam:
X-Signature - Vul in bij Waarde:
sha256=2bc69809301678fea177a83dca487f7ba8de66146ea1f8c1e59933fd546c3599
- Klik op Code
- Vul in bij Body:
{"event": "payment.paid", "order": "1042", "amount": 86}
- Klik op ▶ Verstuur
Deze handleiding is op 22 okt 2026 stap voor stap uitgevoerd door een geautomatiseerde test op Flow (versie 3e563176).