TomásFundador · trae las misiones de los clientes

Misión

Cuando un pago se acredita, el procesador nos avisa con un webhook: un POST con el cuerpo y una firma HMAC en el encabezado. Si no verificamos la firma, cualquiera puede inventarse un «pago acreditado». También necesito comparar tokens de sesión sin canales laterales y dar de alta contraseñas como corresponde. Tres tareas, tres capas de defensa.

Qué tienes que hacer

task webhook_valido(cuerpo, firma, clave) → true solo si la firma HMAC corresponde al cuerpo (usa verify_hmac, jamás compares hashes con ==).
task mismo_token(a, b) → compara dos tokens en tiempo constante.
task alta_password(pw) → hash argon2id de la contraseña; task acceso_valido(pw, hash) → verificación.

ⓘ Tomás validará tu código con pruebas automáticas en el sandbox. Puedes ejecutar antes de enviar.

Solución

Verificar el webhook del procesador

+30 xp

Estás en modo lectura. Crea una cuenta o entra para enviar tu solución y ganar estrellas. Puedes ejecutar código igual.

Tu programa

Así te va a probar Tomás (pruebas de la misión)

test "webhook auténtico vs adulterado"
    let clave be as_secret("clave-webhook-2026")
    let firma be "b541422da504af6d134b78859f9360aba9c42b7ee1e0b6385b19ae9cc8d827d5"
    assert(webhook_valido("monto=1000&moneda=ARS", firma, clave))
    assert(not webhook_valido("monto=9999&moneda=ARS", firma, clave))
    assert(not webhook_valido("monto=1000&moneda=ARS", "0000000000000000000000000000000000000000000000000000000000000000", clave))

test "tokens en tiempo constante"
    assert(mismo_token("tok-1", "tok-1"))
    assert(not mismo_token("tok-1", "tok-2"))

test "contraseñas con argon2id"
    let h be alta_password("Fintech#2026")
    assert(starts_with(h, "$argon2id$"), "usa password_hash, no guardes la contraseña")
    assert(acceso_valido("Fintech#2026", h))
    assert(not acceso_valido("otra", h))