تدقيق واتساب Cloud API وWebhook آمن

أداة تكشف هل ربط واتساب رسمي فعلاً وباسم من، وWebhook يتحقق من توقيع Meta ولا يعالج الرسالة مرتين.

TypeScript
Node.js
Meta Graph API
Docker

النتيجة المقاسة

13/13

اختباراً ناجحاً

المشكلة

شركات كثيرة تدفع لمزوّد واتساب ولا تعرف هل الربط عبر واجهة Meta الرسمية أم عبر حل QR غير رسمي، ولا باسم من سُجّل حساب الأعمال. وكثير من الـ Webhooks لا تتحقق من التوقيع، فيمكن لأي أحد إرسال رسائل مزيفة، وتعالج الرسالة مرتين عندما تعيد Meta الإرسال.

ما بنيته

سكربت تدقيق للقراءة فقط يفحص نوع منصة الرقم، وملكية حساب WABA، والتطبيقات المشتركة، وصلاحيات الرمز.
قائمة تدقيق من 60 بنداً بالعربية والإنجليزية، مقسمة إلى أقسام من A إلى J، لكل بند طريقة تحقق وشرط نجاح.
Webhook بـ TypeScript بدون اعتماديات: مصافحة التحقق، فحص X-Hub-Signature-256 على البايتات الخام بمقارنة ثابتة الزمن، رد سريع، ومنع التكرار بمعرّف الرسالة.
إخفاء أرقام الهواتف في السجلات، ومرسل قوالب بوضع تجريبي (dry-run)، وDockerfile.

النتيجة المقاسة

13 اختباراً آلياً تنجح كلها، منها رفض التوقيع الخاطئ والمحتوى المعدّل ومعالجة الرسالة مرة واحدة عند إعادة الإرسال.
يتعامل مع النصوص العربية بايتاً ببايت دون كسر التوقيع.

جزء من قائمة تدقيق واتساب ومخرجات اختبارات الـ Webhook

التحقق من توقيع Meta في Webhook واتسابts

export function isValidSignature(rawBody, signatureHeader, appSecret) {
  if (!appSecret || typeof signatureHeader !== "string") return false;
  const header = signatureHeader.trim();
  if (!header.startsWith("sha256=")) return false;
 
  const receivedHex = header.slice("sha256=".length);
  // SHA-256 hex digest is always 64 chars
  if (!/^[0-9a-fA-F]{64}$/.test(receivedHex)) return false;
 
  const expected = Buffer.from(computeSignature(rawBody, appSecret).slice(7), "hex");
  const received = Buffer.from(receivedHex.toLowerCase(), "hex");
  if (expected.length !== received.length) return false;
  return timingSafeEqual(expected, received);
}

تحتاج شيئاً مشابهاً؟

حزمة Webhook لواتساب Cloud API مع قائمة تدقيق الملكية · $15

احصل على الحزمة اطلب خدمة مشابهة على خمسات تواصل معي على واتساب

كل دراسات الحالة

30/30مساراً صوتياً، خسارة 0%

سيرفر صوت LiveKit ذاتي الاستضافة لتطبيق Flutter

غرف صوتية على سيرفر خاص بدل الدفع بالدقيقة، بتثبيت بأمر واحد وتوكنات للصوت فقط.

34اختباراً ناجحاً

سيرفر Odoo يعمل بدون إنترنت مع مزامنة للسحابة

يعمل المحل على Odoo محلي دائماً، وخدمة في الخلفية ترفع الفواتير والعملاء للسحابة عند عودة الإنترنت دون تكرار.

20/20حالة تقييم

مساعد يجيب من مستندات الشركة مع ذكر المصدر

يجيب من الملفات فقط، ويذكر الملف والقسم، ويقول إن المعلومة غير موجودة بدل اختراعها، ويكشف التعليمات المدسوسة.