---
title: "Récupérer le secret de signature webhook"
method: GET
path: "/webhooks/signing-secret"
tags: ["Webhooks"]
---

# Récupérer le secret de signature webhook

`GET /webhooks/signing-secret` (webhook)

Renvoie le secret de signature des webhooks sortants de votre organisation (généré au premier appel).

Chaque webhook envoyé sur votre `callbackUrl` porte un en-tête de signature `X-Listar-Signature: t=<timestamp>,v1=<hmac_sha256>`. La signature = HMAC-SHA256 de `timestamp + "." + corps brut`, avec votre secret comme clé :

```js
const crypto = require('crypto');
function verify(rawBody, header, secret) {
  const parts = Object.fromEntries(header.split(',').map((p) => p.split('=')));
  if (!parts.v1) return false;
  const expected = crypto
    .createHmac('sha256', secret)
    .update(parts.t + '.' + rawBody)
    .digest('hex');
  const a = Buffer.from(expected);
  const b = Buffer.from(parts.v1);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}
```

## Acknowledgement `200`

Secret de signature.

- object
  - `success` boolean
  - `secret` string

---

[API](https://skmtc.dev/listar/apis/listar-api.md) · [All operations](https://skmtc.dev/listar/apis/listar-api/llms.txt) · [OpenAPI document](https://skmtc.dev/listar/apis/listar-api/revisions/d8b4a5e9acc8?raw)