Alertas en Slack, Teams y webhooks

1. 1Abre Equipo, luego Integraciones, y añade Slack, Microsoft Teams o un webhook.
2. 2Elige qué alertas debe recibir y haz clic en Enviar prueba para comprobar que el mensaje llega.
3. 3Cuando un análisis programado o un monitor encuentra algo, Scanverra publica la alerta en cuanto termina la ejecución.

Los análisis que alguien ejecuta a mano no envían alertas. Programa los sitios y repositorios que quieras vigilar en la página Análisis programados.

1. 1Lee el cuerpo sin procesar exactamente como llegó, antes de cualquier análisis JSON.
2. 2Calcula el HMAC-SHA256 del encabezado de marca de tiempo, un punto y el cuerpo sin procesar, con el secreto como clave.
3. 3Compáralo con el encabezado de firma en tiempo constante y rechaza las solicitudes cuya marca de tiempo tenga más de 5 minutos.

import crypto from "node:crypto";
import express from "express";

const SECRET = process.env.SCANVERRA_WEBHOOK_SECRET; // whsec_...
const app = express();

// express.raw keeps the exact bytes Scanverra signed.
app.post("/scanverra", express.raw({ type: "application/json" }), (req, res) => {
  const timestamp = req.get("X-Scanverra-Timestamp") ?? "";
  const signature = req.get("X-Scanverra-Signature") ?? "";
  const expected = "sha256=" + crypto
    .createHmac("sha256", SECRET)
    .update(`${timestamp}.${req.body}`)
    .digest("hex");

  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) <= 300;
  const valid = signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!fresh || !valid) return res.sendStatus(401);

  const alert = JSON.parse(req.body);
  console.log(alert.event, alert.summary);
  res.sendStatus(204); // answer fast, do slow work afterwards
});

app.listen(3000);

Firmar la marca de tiempo junto con el cuerpo impide que alguien reenvíe más tarde una solicitud capturada.

• Responde con cualquier estado 2xx en menos de 5 segundos. Haz el trabajo lento después de responder.
• Cada alerta se envía una vez y no se reintenta. El panel Integraciones muestra si la última entrega funcionó.
• Las redirecciones no se siguen, así que usa la URL final.
• Solo se aceptan direcciones HTTPS públicas. Las URL de Slack deben estar en hooks.slack.com y las de Teams en webhook.office.com o Power Automate.
• Las alertas se detienen para todo el equipo si su plan Team o Enterprise vence.