09 — Webhook Yönetimi ve Olaylar

X-Talost-Signature: t=1728000000,v1=5d41402abc4b2a76b9719d911017c592...

// app/api/talost/webhook/route.ts
import { NextRequest, NextResponse } from "next/server";
import crypto from "crypto";

export async function POST(req: NextRequest) {
  const signatureHeader = req.headers.get("x-talost-signature");
  if (!signatureHeader) {
    return NextResponse.json({ error: "İmza başlığı eksik." }, { status: 400 });
  }

  // 1. Ham gövdeyi metin olarak al (Raw Body)
  const rawBody = await req.text();

  // 2. Başlığı ayrıştır (t=...,v1=...)
  const parts = Object.fromEntries(
    signatureHeader.split(",").map((p) => p.trim().split("="))
  );
  const timestamp = parseInt(parts.t, 10);
  const receivedSig = parts.v1;

  // 3. Zaman damgası toleransı (300 saniye)
  const now = Math.floor(Date.now() / 1000);
  if (isNaN(timestamp) || Math.abs(now - timestamp) > 300) {
    return NextResponse.json({ error: "Zaman aşımı (Olası tekrar saldırısı)." }, { status: 400 });
  }

  // 4. İmzayı hesapla ve sabit zamanlı karşılaştır
  const secret = process.env.TALOST_WEBHOOK_SECRET!; // whsec_...
  const expectedSig = crypto
    .createHmac("sha256", secret)
    .update(`${timestamp}.${rawBody}`)
    .digest("hex");

  const sigBufferA = Buffer.from(receivedSig || "", "hex");
  const sigBufferB = Buffer.from(expectedSig, "hex");

  if (sigBufferA.length !== sigBufferB.length || !crypto.timingSafeEqual(sigBufferA, sigBufferB)) {
    return NextResponse.json({ error: "İmza doğrulaması başarısız." }, { status: 401 });
  }

  // 5. Olayı işle (Idempotency için event.id kaydedilmeli)
  const event = JSON.parse(rawBody);

  switch (event.type) {
    case "subscription.activated":
    case "subscription.renewed":
      console.log(`Kullanıcı ${event.data.user_id} için ${event.data.plan_code} planı aktif edildi.`);
      // Veritabanınızda kullanıcı haklarını açın
      break;

    case "subscription.expired":
      console.log(`Kullanıcı ${event.data.user_id} aboneliği doldu.`);
      // Hakları kapatın
      break;

    case "user.deleted":
      console.log(`Kullanıcı ${event.data.user_id} silindi.`);
      // KVKK gereği kullanıcı verilerini anonimleştirin veya silin
      break;

    default:
      console.log(`İşlenmeyen olay: ${event.type}`);
  }

  // TALOST ID'ye başarı teyidi dön (HTTP 200)
  return NextResponse.json({ received: true });
}