क्लाउडफ्लेयर वर्कर्स के साथ वेबहुक सुरक्षित करना: डिडिट एकीकरण गाइड (HI)

क्लाउडफ्लेयर वर्कर्स के साथ बढ़ी हुई सुरक्षाक्लाउडफ्लेयर वर्कर्स वेबहुक को सुरक्षित रूप से संसाधित करने के लिए एक आदर्श सर्वररहित वातावरण प्रदान करते हैं, जो एज-स्तरीय सुरक्षा और कुशल हस्ताक्षर सत्यापन प्रदान करते हैं।

HMAC सिग्नेचर सत्यापन महत्वपूर्ण हैआने वाले वेबहुक की प्रामाणिकता और अखंडता सुनिश्चित करने के लिए हमेशा HMAC-SHA256 सिग्नेचर को सत्यापित करें, जिससे अनधिकृत डेटा इंजेक्शन या छेड़छाड़ को रोका जा सके।

टाइमस्टैम्प सत्यापन रीप्ले हमलों को कम करता हैवेबहुक अनुरोधों को ताज़ा सुनिश्चित करने के लिए टाइमस्टैम्प जांच लागू करें, रीप्ले हमलों से बचाव करें जहां पुराने, वैध अनुरोधों को दुर्भावनापूर्ण अभिनेताओं द्वारा फिर से भेजा जाता है।

डिडिट सुरक्षित पहचान सत्यापन को सरल बनाता हैडिडिट का AI-देशी प्लेटफॉर्म सभी पहचान सत्यापन उत्पादों के लिए मजबूत, वास्तविक समय के वेबहुक नोटिफिकेशन प्रदान करता है, जो आपके अनुप्रयोगों के लिए सुरक्षित और विश्वसनीय डेटा डिलीवरी सुनिश्चित करता है।

आज के आपस में जुड़े डिजिटल परिदृश्य में, वेबहुक सेवाओं के बीच वास्तविक समय संचार की आधारशिला हैं। वे पहचान सत्यापन परिणामों, भुगतान पुष्टिकरणों और उपयोगकर्ता गतिविधि जैसी घटनाओं के लिए तत्काल सूचनाएं सक्षम करते हैं। हालाँकि, वेबहुक की सुविधा एक महत्वपूर्ण सुरक्षा चुनौती के साथ आती है: प्राप्त डेटा की प्रामाणिकता और अखंडता सुनिश्चित करना। उचित सुरक्षा उपायों के बिना, आपका एप्लिकेशन स्पूफिंग, छेड़छाड़ या रीप्ले हमलों के प्रति संवेदनशील हो सकता है।

यह गाइड आपको क्लाउडफ्लेयर वर्कर्स का उपयोग करके डिडिट पहचान सत्यापन के लिए एक सुरक्षित वेबहुक एंडपॉइंट बनाने में मदद करेगी। क्लाउडफ्लेयर वर्कर्स एज पर एक शक्तिशाली, सर्वररहित प्लेटफॉर्म प्रदान करते हैं, जो न्यूनतम विलंबता और अधिकतम विश्वसनीयता के साथ वेबहुक को संसाधित और सुरक्षित करने के लिए आदर्श है। डिडिट, एक AI-देशी पहचान प्लेटफॉर्म के रूप में, वास्तविक समय के KYC नोटिफिकेशन देने के लिए सुरक्षित वेबहुक पर निर्भर करता है, जिससे डिडिट के मजबूत पहचान सत्यापन समाधानों का लाभ उठाने वाले किसी भी व्यवसाय के लिए यह एकीकरण महत्वपूर्ण हो जाता है।

अपने वेबहुक को क्यों सुरक्षित करें?

कल्पना कीजिए कि आपको एक वेबहुक नोटिफिकेशन प्राप्त होता है जो गलत तरीके से दावा करता है कि एक उपयोगकर्ता ने आईडी सत्यापन पास कर लिया है, जबकि वास्तव में, वह विफल रहा। या शायद एक दुर्भावनापूर्ण अभिनेता एक पुराने, वैध वेबहुक को फिर से चलाता है ताकि आपके सिस्टम में एक क्रिया को कई बार ट्रिगर किया जा सके। ये परिदृश्य वेबहुक सुरक्षा की महत्वपूर्ण आवश्यकता को उजागर करते हैं।

वेबहुक एंडपॉइंट्स के लिए प्राथमिक खतरे शामिल हैं:

• स्पूफिंग: एक हमलावर एक नकली वेबहुक भेजता है, जो डिडिट होने का नाटक करता है, ताकि आपके सिस्टम को अनधिकृत कार्रवाई करने के लिए गुमराह किया जा सके।
• छेड़छाड़: एक हमलावर एक वैध वेबहुक को रोकता है और आपके सर्वर तक पहुंचने से पहले उसके पेलोड को संशोधित करता है।
• रीप्ले हमले: एक हमलावर एक वैध वेबहुक को कैप्चर करता है और बाद में उसी क्रिया को फिर से ट्रिगर करने के लिए इसे फिर से भेजता है, जिससे संभावित रूप से डुप्लिकेट लेनदेन या अन्य समस्याएं हो सकती हैं।

अपने वेबहुक को सुरक्षित करने में प्रेषक की पहचान को सत्यापित करना और यह सुनिश्चित करना शामिल है कि डेटा में कोई बदलाव नहीं किया गया है। डिडिट HMAC-SHA256 सिग्नेचर और टाइमस्टैम्प सत्यापन के माध्यम से इसके लिए एक मजबूत तंत्र प्रदान करता है, जिसे हम अपने क्लाउडफ्लेयर वर्कर में लागू करेंगे।

अपना डिडिट वेबहुक सीक्रेट सेट करना

डिडिट वेबहुक को सत्यापित करने से पहले, आपको अपनी अद्वितीय वेबहुक सीक्रेट कुंजी की आवश्यकता है। यह कुंजी क्रिप्टोग्राफिक सिग्नेचर सत्यापन के लिए सर्वोपरि है। इसे पुनः प्राप्त करने का तरीका यहां बताया गया है:

1. अपने डिडिट कंसोल में लॉग इन करें।
2. सेटिंग्स → API कीज़ पर नेविगेट करें।
3. अपनी वेबहुक सीक्रेट कुंजी कॉपी करें।

इस सीक्रेट कुंजी को सुरक्षित रूप से संग्रहीत किया जाना चाहिए और कभी भी सार्वजनिक रूप से उजागर नहीं किया जाना चाहिए। क्लाउडफ्लेयर वर्कर्स के लिए, इसे वर्कर सीक्रेट या एक पर्यावरण चर के रूप में संग्रहीत करना सबसे अच्छा है।

डिडिट वेबहुक के लिए एक सुरक्षित क्लाउडफ्लेयर वर्कर बनाना

क्लाउडफ्लेयर वर्कर्स जावास्क्रिप्ट, टाइपस्क्रिप्ट या वेबअसेंबली एप्लिकेशन हैं जो क्लाउडफ्लेयर के वैश्विक नेटवर्क पर, आपके उपयोगकर्ताओं के करीब चलते हैं। यह उन्हें आने वाले वेबहुक अनुरोधों को न्यूनतम विलंबता और अधिकतम विश्वसनीयता के साथ संभालने के लिए अविश्वसनीय रूप से तेज़ और स्केलेबल बनाता है। डिडिट वेबहुक को सुरक्षित रूप से संसाधित करने वाले वर्कर को बनाने के लिए यहां एक चरण-दर-चरण गाइड है।

1. अपना क्लाउडफ्लेयर वर्कर बनाएं

सबसे पहले, एक नया क्लाउडफ्लेयर वर्कर प्रोजेक्ट सेट करें। आप इसे wrangler CLI टूल का उपयोग करके कर सकते हैं:

npx wrangler generate didit-webhook-handler
cd didit-webhook-handler

2. अपना डिडिट वेबहुक सीक्रेट क्लाउडफ्लेयर सीक्रेट के रूप में जोड़ें

अपने वेबहुक सीक्रेट को सुरक्षित रखने के लिए, इसे अपने वर्कर में एक सीक्रेट के रूप में जोड़ें:

npx wrangler secret put DIDIT_WEBHOOK_SECRET

पूछे जाने पर, डिडिट कंसोल से अपनी वेबहुक सीक्रेट कुंजी पेस्ट करें।

3. index.js में वेबहुक लॉजिक लागू करें

आपके वर्कर की index.js फ़ाइल में डिडिट वेबहुक को प्राप्त करने, मान्य करने और संसाधित करने का लॉजिक होगा। मुख्य चरण हैं:

1. कच्चे अनुरोध बॉडी को पढ़ें: HMAC सिग्नेचर कच्चे अनुरोध बॉडी से उत्पन्न होता है, इसलिए सत्यापन से पहले इसे पार्स न करना महत्वपूर्ण है।
2. HMAC-SHA256 सिग्नेचर सत्यापित करें: X-Signature हेडर में प्रदान किए गए सिग्नेचर की तुलना एक सिग्नेचर से करें जिसे आप अपनी DIDIT_WEBHOOK_SECRET और कच्चे अनुरोध बॉडी का उपयोग करके उत्पन्न करते हैं।
3. टाइमस्टैम्प मान्य करें: अनुरोध को हाल का (जैसे, 5 मिनट के भीतर) सुनिश्चित करने के लिए X-Timestamp हेडर की जांच करें ताकि रीप्ले हमलों को रोका जा सके।
4. JSON पार्स करें और प्रोसेस करें: यदि सत्यापन पास हो जाता है, तो JSON बॉडी को पार्स करें और पहचान सत्यापन परिणाम को संभालें।

यहां वर्कर कोड का एक बुनियादी उदाहरण दिया गया है:

import { createHmac } from 'crypto'; // Cloudflare Workers provide 'crypto' module

export default {
  async fetch(request, env, ctx) {
    if (request.method !== 'POST') {
      return new Response('Method Not Allowed', { status: 405 });
    }

    const diditWebhookSecret = env.DIDIT_WEBHOOK_SECRET;
    if (!diditWebhookSecret) {
      return new Response('Webhook secret not configured', { status: 500 });
    }

    const signature = request.headers.get('X-Signature');
    const timestamp = request.headers.get('X-Timestamp');
    const rawBody = await request.text();

    if (!signature || !timestamp || !rawBody) {
      return new Response('Missing required webhook headers or body', { status: 400 });
    }

    // 1. Validate Timestamp (e.g., within 5 minutes)
    const FIVE_MINUTES_IN_SECONDS = 300;
    const currentTimestamp = Math.floor(Date.now() / 1000);
    if (Math.abs(currentTimestamp - parseInt(timestamp, 10)) > FIVE_MINUTES_IN_SECONDS) {
      return new Response('Webhook timestamp too old or in the future', { status: 403 });
    }

    // 2. Verify HMAC-SHA256 Signature
    const expectedSignature = createHmac('sha256', diditWebhookSecret)
      .update(`${timestamp}.${rawBody}`)
      .digest('hex');

    if (expectedSignature !== signature) {
      return new Response('Invalid webhook signature', { status: 403 });
    }

    // 3. Process the webhook payload
    try {
      const payload = JSON.parse(rawBody);
      // Log or process the payload, e.g., update user status in your database
      console.log('Received Didit webhook:', payload);

      // Example: Accessing verification status
      if (payload.event === 'session.completed' && payload.data.status === 'approved') {
        console.log(`User ${payload.data.vendor_data} successfully verified.`);
        // Trigger further actions like granting access or updating user profile
      }
      // Didit offers various products like ID Verification, Passive & Active Liveness, and AML Screening.
      // The webhook payload will reflect results from these checks.

      return new Response('Webhook processed successfully', { status: 200 });
    } catch (error) {
      console.error('Error parsing webhook body:', error);
      return new Response('Error parsing JSON payload', { status: 400 });
    }
  },
};

4. अपने वर्कर को डिप्लॉय करें

एक बार आपका कोड तैयार हो जाने पर, इसे क्लाउडफ्लेयर पर डिप्लॉय करें:

npx wrangler deploy

डिप्लॉयमेंट के बाद, क्लाउडफ्लेयर आपको आपके वर्कर के लिए एक URL प्रदान करेगा। यह वह एंडपॉइंट है जिसे आप वेबहुक प्राप्त करने के लिए अपने डिडिट कंसोल में कॉन्फ़िगर करेंगे।

वेबहुक भेजने के लिए डिडिट को कॉन्फ़िगर करना

आपके सुरक्षित क्लाउडफ्लेयर वर्कर को डिप्लॉय करने के बाद, अंतिम चरण डिडिट को यह बताना है कि आपके वास्तविक समय के नोटिफिकेशन कहां भेजने हैं:

1. अपने डिडिट कंसोल पर वापस जाएं।
2. वर्कफ्लो पर नेविगेट करें और उस वर्कफ्लो का चयन करें जिसे आप कॉन्फ़िगर करना चाहते हैं (उदाहरण के लिए, आपका KYC वर्कफ्लो जो डिडिट के आईडी सत्यापन और निष्क्रिय और सक्रिय जीवंतता का उपयोग करता है)।
3. वर्कफ्लो सेटिंग्स में, वेबहुक URL कॉन्फ़िगरेशन ढूंढें।
4. अपने डिप्लॉय किए गए क्लाउडफ्लेयर वर्कर का URL दर्ज करें।
5. अपने परिवर्तनों को सहेजें।

अब, जब भी कोई पहचान सत्यापन सत्र पूरा होता है या उसकी स्थिति बदलती है, तो डिडिट आपके क्लाउडफ्लेयर वर्कर को एक सुरक्षित वेबहुक नोटिफिकेशन भेजेगा, जो तब इसे मान्य और संसाधित करेगा।

डिडिट कैसे मदद करता है

डिडिट को सुरक्षा और डेवलपर अनुभव को ध्यान में रखकर डिज़ाइन किया गया है। हमारा AI-देशी पहचान प्लेटफॉर्म एक मॉड्यूलर आर्किटेक्चर प्रदान करता है जो आपको आसानी से जटिल सत्यापन वर्कफ्लो बनाने की अनुमति देता है। जब वेबहुक की बात आती है, तो डिडिट प्रक्रिया को सरल बनाता है:

• सुरक्षित वेबहुक नोटिफिकेशन प्रदान करना: सभी डिडिट वेबहुक HMAC-SHA256 सिग्नेचर के साथ हस्ताक्षरित होते हैं और इसमें एक टाइमस्टैम्प शामिल होता है, जो आपके द्वारा प्राप्त डेटा की प्रामाणिकता और अखंडता सुनिश्चित करता है। यह आईडी सत्यापन, 1:1 फेस मैच और AML स्क्रीनिंग जैसे उत्पादों के लिए महत्वपूर्ण है, जहां डेटा सटीकता सर्वोपरि है।
• वास्तविक समय के अपडेट: सत्यापन प्रक्रिया के हर चरण के लिए तत्काल नोटिफिकेशन प्राप्त करें, जिससे आपका एप्लिकेशन उपयोगकर्ता सत्यापन परिणामों पर तुरंत प्रतिक्रिया दे सके।
• व्यापक डेटा: वेबहुक पेलोड में सत्यापन सत्र के बारे में सभी आवश्यक विवरण शामिल होते हैं, जिसमें निष्क्रिय और सक्रिय जीवंतता, फोन और ईमेल सत्यापन, और पते के प्रमाण जैसे विभिन्न डिडिट उत्पादों के परिणाम शामिल होते हैं।
• डेवलपर-प्रथम दृष्टिकोण: डिडिट एक तत्काल सैंडबॉक्स, स्पष्ट सार्वजनिक दस्तावेज़ और स्वच्छ API प्रदान करता है, जिससे एकीकरण सीधा हो जाता है। हमारी फ्री कोर KYC टियर और पे-पर-सफल-चेक मॉडल, बिना किसी सेटअप शुल्क के, शुरू करना और स्केल करना आसान बनाते हैं।

एक सुरक्षित क्लाउडफ्लेयर वर्कर के साथ डिडिट वेबहुक को एकीकृत करके, आप वास्तविक समय की पहचान सत्यापन अपडेट के लिए एक लचीला और भरोसेमंद चैनल स्थापित करते हैं, जिससे आपके व्यवसाय और आपके उपयोगकर्ताओं की सुरक्षा होती है।

शुरू करने के लिए तैयार हैं?

डिडिट को कार्रवाई में देखने के लिए तैयार हैं? आज ही एक मुफ्त डेमो प्राप्त करें।

डिडिट के फ्री टियर के साथ मुफ्त में पहचान सत्यापित करना शुरू करें।