Shopify Webhook HMAC署名検証エラーの解決策

注文作成（orders/create）や在庫変更（inventory_levels/update）のWebhookを自社サーバーで受信する際に発生。

エラー根本原因 & クイック解決サマリー

2026年最新API仕様

リクエストボディをJSONとしてパースする前に、生のBuffer/Stringとして保持する。

Node.js cryptoモジュール（createHmac('sha256')）で正しくダイジェストを計算し、timingSafeEqualで比較する。

📋 主要スペック & 決定ファクトシート

エラーコード: 401 Unauthorized
重要度レベル: 緊急 (CRITICAL)
推奨解決コード: TYPESCRIPT

根本原因（Root Cause）

Webhookリクエストのraw body（生のバイナリ文字列）を取得する前にJSON.parse等のミドルウェアが本文をパース・改変してしまい、Shopifyが送信したハッシュ値と一致しなくなる。

放置した場合のビジネス影響

Webhookエンドポイントが第三者からの不正リクエストに対して無防備になり、偽の注文情報や不正データの混入リスクが生じます。

推奨解決コード実装例（TYPESCRIPT）

timingSafeEqual を使用することでタイミング攻撃脆弱性を防ぎ、セキュアに署名検証を行います。

✔ 正しい修正コード（推奨実装）

import crypto from 'crypto';

export function verifyShopifyWebhook(rawBody: string | Buffer, hmacHeader: string, secretKey: string): boolean {
  const calculatedHmac = crypto
    .createHmac('sha256', secretKey)
    .update(rawBody)
    .digest('base64');

  try {
    return crypto.timingSafeEqual(
      Buffer.from(calculatedHmac),
      Buffer.from(hmacHeader)
    );
  } catch {
    return false;
  }
}