Des livraisons signées, et un courriel qui ne dit rien.

Une URL de webhook est un secret qui fuit. Elle finit dans un ticket, un message d'équipe, une capture d'écran d'un document de passation, un historique de navigation sur un portable partagé. Sans signature, quiconque a vu l'URL peut y transmettre ce qu'il veut, et vos systèmes le classeront comme une véritable réponse de consultation. Pour une collectivité qui dénombre les objections à un projet d'urbanisme, ce n'est pas un problème théorique.

Chaque livraison est donc signée. Chaque webhook reçoit son propre secret généré aléatoirement, affiché dans l'éditeur derrière une commande « afficher le secret de signature ». Nous calculons un HMAC-SHA256 sur les octets exacts du corps de la requête à l'aide de ce secret ; vous le recalculez avec votre copie et vous comparez. Une requête falsifiée échoue, parce que son auteur ne détient pas le secret.

L'URL doit être en https. Cela est imposé par une contrainte de base de données, et non par une simple indication dans le formulaire, car un secret de signature qui circule sur une connexion non chiffrée n'est pas un secret.

Vérifier une livraison en Node.js

Deux détails causent l'essentiel des dégâts en pratique. Utilisez le corps brut de la requête, et non un objet analysé puis re-sérialisé — les différences d'espaces modifient l'empreinte. Et comparez en temps constant, afin qu'un attaquant ne puisse pas deviner la signature correcte octet par octet à partir des temps de réponse.

import { createHmac, timingSafeEqual } from 'node:crypto';

const SECRET = process.env.NOISSIME_WEBHOOK_SECRET;

// rawBody must be the exact bytes received, before any JSON parsing.
// Re-serialising a parsed object changes the whitespace and the check fails.
function isFromNoissime(rawBody, header) {
  if (typeof header !== 'string') return false;

  const expected =
    'sha256=' + createHmac('sha256', SECRET).update(rawBody).digest('hex');

  const a = Buffer.from(expected);
  const b = Buffer.from(header);

  // timingSafeEqual throws on a length mismatch, so compare lengths first.
  return a.length === b.length && timingSafeEqual(a, b);
}

Appelez cette fonction avant toute analyse. Si elle renvoie faux, répondez 401 et écartez la requête. Si elle renvoie vrai, vous tenez une réponse qui ne peut provenir que de votre enquête.

Ajoutez les adresses qui doivent être averties des nouvelles réponses et elles recevront un courriel dès qu'une réponse arrive. Le message est en HTML aux couleurs de la marque, avec une version texte brut, car les clients texte seul et les filtres anti-spam lisent tous deux cette partie. Il nomme l'enquête, donne le total de réponses en cours et renvoie vers les résultats.

Ce qu'il ne contient pas, ce sont les réponses. C'est une décision, non un oubli. Un courriel de notification est transféré à un collègue, classé automatiquement dans une boîte partagée, synchronisé sur un téléphone et conservé des années dans une sauvegarde. Y placer des réponses libres de consultation disperse des données personnelles dans des systèmes que personne n'a évalués, et défait discrètement les contrôles d'accès décrits sur la page sécurité. Les données des répondants restent dans la base de données, et le courriel vous invite à aller les consulter.

Comme les webhooks, les notifications sont déclenchées par un déclencheur de base de données : elles suivent donc la réponse et non une voie de soumission particulière. Si aucune adresse n'est configurée, rien n'est envoyé et rien n'est tenté.