Alertas no Slack, Teams e webhooks

1. 1Abra Equipe, depois Integrações, e adicione Slack, Microsoft Teams ou um webhook.
2. 2Escolha quais alertas ela deve receber e clique em Enviar teste para confirmar que a mensagem chega.
3. 3Quando uma verificação agendada ou um monitor encontra algo, o Scanverra publica o alerta assim que a execução termina.

Verificações que alguém executa manualmente não enviam alertas. Agende os sites e repositórios que você quer acompanhar na página Verificações agendadas.

1. 1Leia o corpo bruto da requisição exatamente como chegou, antes de qualquer parsing de JSON.
2. 2Calcule o HMAC-SHA256 do cabeçalho de timestamp, um ponto e o corpo bruto, usando o segredo como chave.
3. 3Compare com o cabeçalho de assinatura em tempo constante e rejeite requisições cujo timestamp tenha mais de 5 minutos.

import crypto from "node:crypto";
import express from "express";

const SECRET = process.env.SCANVERRA_WEBHOOK_SECRET; // whsec_...
const app = express();

// express.raw keeps the exact bytes Scanverra signed.
app.post("/scanverra", express.raw({ type: "application/json" }), (req, res) => {
  const timestamp = req.get("X-Scanverra-Timestamp") ?? "";
  const signature = req.get("X-Scanverra-Signature") ?? "";
  const expected = "sha256=" + crypto
    .createHmac("sha256", SECRET)
    .update(`${timestamp}.${req.body}`)
    .digest("hex");

  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) <= 300;
  const valid = signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!fresh || !valid) return res.sendStatus(401);

  const alert = JSON.parse(req.body);
  console.log(alert.event, alert.summary);
  res.sendStatus(204); // answer fast, do slow work afterwards
});

app.listen(3000);

Assinar o timestamp junto com o corpo impede que uma requisição capturada seja reenviada depois.

• Responda com qualquer status 2xx em até 5 segundos. Faça o trabalho demorado depois de responder.
• Cada alerta é enviado uma vez e não é reenviado. O painel Integrações mostra se a última entrega funcionou.
• Redirecionamentos não são seguidos, então use a URL final.
• Só endereços HTTPS públicos são aceitos. URLs do Slack devem estar em hooks.slack.com, e as do Teams em webhook.office.com ou no Power Automate.
• Os alertas param para a equipe toda se o plano Team ou Enterprise dela expirar.