Webhook İmza Doğrulama & Olaylar

{
  "event": "call.completed",
  "timestamp": "2026-07-12T09:31:04.512Z",
  "data": {
    "callId": "8123456789",
    "phoneNumber": "+905321234567",
    "direction": "outbound",
    "durationSeconds": 84,
    "outcome": "answered",
    "sentiment": "positive",
    "summary": "Randevu talep etti, Salı 14:00 uygun.",
    "contactId": "42198"
  }
}

X-Purvisor-Signature = hex( HMAC_SHA256( key = subscription.secret, message = ham_gövde ) )

import crypto from "crypto"
import express from "express"
 
const app = express()
 
// ÖNEMLİ: imza ham gövde üzerinden hesaplanır — bu route'ta JSON parse ETME.
app.post(
  "/purvisor-webhook",
  express.raw({ type: "application/json" }),
  (req, res) => {
    const secret = process.env.PURVISOR_HOOK_SECRET // POST /hooks yanıtındaki 32 hex
    const rawBody = req.body // Buffer — ham gövde
 
    const expected = crypto
      .createHmac("sha256", secret)
      .update(rawBody) // ham byte'lar
      .digest("hex")
 
    const received = req.get("X-Purvisor-Signature") || ""
 
    // Sabit-zamanlı karşılaştırma (uzunluk farkı da güvenli ele alınır)
    const a = Buffer.from(expected, "utf8")
    const b = Buffer.from(received, "utf8")
    const valid = a.length === b.length && crypto.timingSafeEqual(a, b)
 
    if (!valid) {
      return res.status(401).json({ error: "invalid_signature" })
    }
 
    const { event, timestamp, data } = JSON.parse(rawBody.toString("utf8"))
 
    // İsteğe bağlı replay koruması: 5 dakikadan eski olayları reddet
    if (Date.now() - new Date(timestamp).getTime() > 5 * 60 * 1000) {
      return res.status(401).json({ error: "stale_event" })
    }
 
    switch (event) {
      case "call.completed":
        // data.callId, data.outcome, data.sentiment, data.summary ...
        break
      case "contact.created":
        // data.contactId, data.phoneNumber, data.source ...
        break
      case "dnc.requested":
        // data.phoneNumber, data.reason ...
        break
    }
 
    // 2xx döndür — aksi halde Purvisor teslimatı yeniden dener (retry)
    res.status(200).json({ ok: true })
  }
)

Olay tetiklenir (emitEvent)
      ↓
Aktif abonelikler bulunur (event + isActive)
      ↓
Her abonelik için kuyruğa iş atılır  ──(Redis yoksa)──▶ doğrudan tek seferlik POST (retry yok)
      ↓
Worker → targetUrl'e imzalı POST (10 sn timeout)
      ↓
2xx? ── evet ─▶ lastDeliveryAt güncellenir, failCount = 0
      └─ hayır (non-2xx / timeout) ─▶ retry (5 deneme, exponential backoff, 15 sn taban)
                                              ↓
                        Tüm denemeler biterse failCount++
                                              ↓
                        failCount ≥ 10 ise abonelik otomatik pasife alınır