Webhook Secret - CI/CD用語集の定義

Webhook Secret: webhook secretとは、送信側と受信側の両方に設定される共有トークンで、各リクエストに署名するために使われ、受信側はpayloadが本当に信頼できるソースから来たことを検証できます。

webhook secretとは、送信側と受信側の両方に設定される共有トークンで、各リクエストに署名するために使われ、受信側はpayloadが本当に信頼できるソースから来たことを検証できます。

webhookのURLは単なるHTTPエンドポイントなので、それを知った者は誰でも偽のイベントをPOSTできてしまいます。secretがあれば、署名を確認することで偽造されたリクエストを拒否できます。

CIにおいて

GitHubは各配信をsecretで署名し、その結果をX-Hub-Signature-256ヘッダーに入れます。あなたのreceiverはHMACを再計算して比較します。不一致であればリクエストを破棄します。