Alertes Slack, Teams et webhooks

1. 1Ouvrez Équipe, puis Intégrations, et ajoutez Slack, Microsoft Teams ou un webhook.
2. 2Choisissez les alertes à recevoir, puis cliquez sur Envoyer un test pour vérifier que le message arrive.
3. 3Quand une analyse planifiée ou une surveillance trouve quelque chose, Scanverra publie l'alerte dès la fin de l'exécution.

Les analyses lancées à la main n'envoient pas d'alertes. Planifiez les sites et dépôts à surveiller sur la page Analyses planifiées.

1. 1Lisez le corps brut de la requête tel qu'il est arrivé, avant toute analyse JSON.
2. 2Calculez le HMAC-SHA256 de l'en-tête d'horodatage, d'un point et du corps brut, avec le secret comme clé.
3. 3Comparez-le à l'en-tête de signature en temps constant, et rejetez les requêtes dont l'horodatage date de plus de 5 minutes.

import crypto from "node:crypto";
import express from "express";

const SECRET = process.env.SCANVERRA_WEBHOOK_SECRET; // whsec_...
const app = express();

// express.raw keeps the exact bytes Scanverra signed.
app.post("/scanverra", express.raw({ type: "application/json" }), (req, res) => {
  const timestamp = req.get("X-Scanverra-Timestamp") ?? "";
  const signature = req.get("X-Scanverra-Signature") ?? "";
  const expected = "sha256=" + crypto
    .createHmac("sha256", SECRET)
    .update(`${timestamp}.${req.body}`)
    .digest("hex");

  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) <= 300;
  const valid = signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!fresh || !valid) return res.sendStatus(401);

  const alert = JSON.parse(req.body);
  console.log(alert.event, alert.summary);
  res.sendStatus(204); // answer fast, do slow work afterwards
});

app.listen(3000);

Comme l'horodatage est signé avec le corps, une requête interceptée ne peut pas être rejouée plus tard.

• Répondez avec n'importe quel statut 2xx en moins de 5 secondes. Faites le travail long après avoir répondu.
• Chaque alerte est envoyée une fois, sans nouvel essai. Le panneau Intégrations indique si le dernier envoi a réussi.
• Les redirections ne sont pas suivies : utilisez l'URL finale.
• Seules les adresses HTTPS publiques sont acceptées. Les URL Slack doivent être sur hooks.slack.com, et celles de Teams sur webhook.office.com ou Power Automate.
• Les alertes s'arrêtent pour toute l'équipe si son offre Team ou Enterprise expire.