Verifica Crittografica Webhook Stripe: Proteggere WooCommerce dallo Spoofing

Gestire un e-commerce richiede massima attenzione alla sicurezza dei dati finanziari. WooCommerce e Stripe comunicano tra loro attraverso notifiche asincrone chiamate webhook. Senza controlli adeguati, malintenzionati possono inviare notifiche fasulle al tuo negozio online.

Questo attacco si chiama spoofing del webhook. I truffatori simulano pagamenti mai avvenuti per ottenere merci gratis. Per evitare brutte sorprese, devi configurare la corretta chiave segreta webhook stripe nel tuo sistema.

In questo tutorial pratico vedremo come blindare la comunicazione. Se riscontri problemi con gli stati degli acquisti, consulta la nostra guida su ordini bloccati in attesa di pagamento.

Come Funziona la Verifica Crittografica dei Webhook

La minaccia dello spoofing HTTP

Un endpoint webhook è un URL pubblico esposto sul tuo sito WordPress. Chiunque conosca questo indirizzo può inviare richieste POST simulate. Un finto payload può notificare l’avvenuto pagamento di un ordine costoso.

Senza una convalida preventiva, WooCommerce contrassegna l’ordine come completato o in lavorazione. L’amministratore spedisce il prodotto senza aver incassato un solo centesimo. Questo scenario causa perdite economiche devastanti per qualsiasi store digitale.

L’intestazione Stripe-Signature e l’HMAC-SHA256

Stripe risolve il problema alla radice con una firma crittografica. Ogni notifica inviata include un header speciale chiamato Stripe-Signature. Questo header contiene un marcatore temporale e una firma digitale robusta.

La firma viene generata calcolando un codice HMAC basato sull’algoritmo SHA256. Il calcolo unisce il corpo del messaggio grezzo e la tua chiave segreta webhook stripe. Nessun attaccante può replicare questa firma senza possedere il segreto condiviso.

La tolleranza temporale contro gli attacchi Replay

Oltre a verificare l’origine del messaggio, Stripe protegge dagli attacchi di tipo replay. Un malintenzionato potrebbe intercettare una notifica valida e ritrasmetterla più volte. La firma include un timestamp che definisce il momento esatto dell’invio.

Il plugin ufficiale per WooCommerce rifiuta qualsiasi richiesta con un timestamp troppo vecchio. Di norma, la tolleranza massima consentita è fissata a trecento secondi. Questo meccanismo garantisce freschezza e integrità a ogni singola transazione registrata.

Trovare ed Estrarre il Segreto di Firma su Stripe Dashboard

Accesso alla sezione Sviluppatori

Per proteggere il tuo negozio devi recuperare il segreto di firma univoco. Accedi al portale Stripe utilizzando le tue credenziali di amministratore. Sposta l’interruttore in alto a destra sulla modalità live se il sito è attivo.

Fai clic sul menu Sviluppatori posizionato nell’angolo superiore destro. Nel sottomenu laterale che compare, seleziona la voce Webhook. Qui troverai l’elenco completo di tutti gli endpoint attualmente configurati per il tuo account.

Configurazione dell’endpoint per WooCommerce

Se non hai ancora un endpoint registrato, clicca sul pulsante Aggiungi endpoint. Inserisci l’URL di callback fornito dalle impostazioni del plugin Stripe in WooCommerce. L’indirizzo standard ha una struttura simile a questa:

• URL endpoint: https://tuosito.it/?wc-api=wc_stripe
• Versione API: seleziona l’ultima versione stabile consigliata
• Descrizione: Webhook WooCommerce Produzione

Selezione degli eventi necessari

Non inviare tutti gli eventi indistintamente per evitare carichi inutili sul database. Seleziona unicamente gli eventi indispensabili per il ciclo di vendita del carrello:

• payment_intent.succeeded
• payment_intent.payment_failed
• charge.refunded
• review.opened

Recupero del segreto di firma (Signing Secret)

Dopo aver salvato l’endpoint, si aprirà la pagina di riepilogo del webhook. Nella sezione denominata Segreto di firma, fai clic sul pulsante Rivelalo. Visualizzerai una stringa alfanumerica che inizia con il prefisso whsec_.

Copia questo valore e conservalo temporaneamente in un blocco note protetto. Ricorda che questa stringa rappresenta la tua chiave segreta webhook stripe ufficiale. Non condividerla mai con terzi e non incollarla in chat pubbliche.

Configurare la Chiave di Firma in WooCommerce

Impostazioni del gateway Stripe

Ora devi comunicare questa chiave al tuo negozio WooCommerce su WordPress. Accedi alla bacheca del tuo sito come amministratore principale. Naviga nel menu WooCommerce, seleziona Impostazioni e clicca sulla scheda Pagamenti.

Fai clic sul pulsante Gestisci accanto al metodo Stripe. Scorri verso il basso fino a visualizzare la sezione dedicata alle impostazioni avanzate o ai webhook. Cerca il campo etichettato come Segreto del webhook o Webhook Signing Secret.

Inserimento e salvataggio dei parametri

Incolla la stringa alfanumerica whsec_ recuperata in precedenza all’interno del campo designato. Assicurati di non copiare spazi vuoti all’inizio o alla fine del codice. Salva le modifiche apportate cliccando sul pulsante blu in fondo alla pagina.

Da questo momento in poi, ogni notifica in arrivo verrà sottoposta a rigida verifica. WooCommerce confronterà la firma dell’header con il valore generato localmente. Se i due codici non combaciano, il pacchetto dati viene scartato istantaneamente.

Salva sempre la chiave del webhook sia in modalità Test che in modalità Live. Se utilizzi ambienti di staging separati, crea webhook distinti con differenti chiavi whsec_. In questo modo eviti pericolosi conflitti tra dati fittizi e ordini reali.

Test Pratico e Monitoraggio della Sicurezza

Inviare un payload di test dalla Dashboard Stripe

Verificare l’effettivo funzionamento del filtro crittografico richiede pochi secondi. Torna sulla dashboard di Stripe nella schermata del tuo webhook configurato. Fai clic sul pulsante Invia evento di test situato in alto a destra.

Seleziona l’evento payment_intent.succeeded dall’elenco a discesa e premi Invia. Torna all’elenco dei tentativi di recapito nella parte inferiore della pagina. Dovresti visualizzare una risposta con codice HTTP 200 OK evidenziata in verde.

Simulazione di una richiesta non autenticata

Puoi testare la robustezza del sistema provando a ingannare il tuo server. Utilizza un software come Postman o il terminale con il comando cURL. Invia una finta richiesta HTTP POST all’URL del tuo webhook senza allegare l’header di firma.

WooCommerce deve bloccare immediatamente la transazione non autorizzata. La risposta del server dovrà restituire un codice di errore HTTP 400 Bad Request. Questo dimostra che nessun ordine potrà essere alterato tramite chiamate esterne non firmate.

Analisi dei log di WooCommerce

Controlla regolarmente i registri del negozio per rilevare eventuali anomalie di trasmissione. Vai su WooCommerce, fai clic su Stato e seleziona la scheda denominata Log. Cerca nel menu a tendina i file denominati woocommerce-gateway-stripe.

Nei log potrai tracciare le verifiche delle firme per ciascun evento ricevuto. Se visualizzi errori come Signature verification failed, la configurazione presenta anomalie. Significa che il sistema ha respinto la notifica per proteggere il database.

Risoluzione dei Problemi Comuni di Verifica

Discrepanza della chiave segreta

L’errore più diffuso è la mancata corrispondenza della chiave di firma tra i sistemi. Questo accade spesso quando si rigenera il segreto su Stripe senza aggiornare WordPress. Se modifichi l’endpoint, ricordati di inserire la nuova chiave segreta webhook stripe su WooCommerce.

Controlla anche di non aver inserito la chiave di test nell’ambiente di produzione. Le chiavi di test funzionano solo quando Stripe opera in modalità Sandbox. La modalità reale richiede obbligatoriamente il segreto estratto dai webhook operativi.

Problemi con la cache e firewall server

Alcuni plugin di cache avanzati memorizzano erroneamente le risposte delle richieste POST. Assicurati che l’URL del webhook di WooCommerce sia escluso da qualsiasi sistema di caching. Controlla plugin come WP Rocket, LiteSpeed Cache o configurazioni Nginx a livello server.

Inoltre, firewall applicativi come Cloudflare possono bloccare le chiamate automatiche di Stripe. Aggiungi gli indirizzi IP ufficiali di Stripe alla whitelist del tuo firewall perimetrale. In caso contrario, le notifiche verranno bloccate a monte restituendo errori HTTP 403 Forbidden.

Domande Frequenti (FAQ)

Cosa succede se ricevo un errore Signature verification failed?

Questo messaggio indica che la firma crittografica ricevuta non coincide con quella calcolata dal server. Le cause più comuni sono due: un segreto di firma errato o la presenza di plugin che alterano il payload raw. Verifica la chiave nelle impostazioni di WooCommerce e disattiva momentaneamente plugin di compressione JSON o firewall troppo restrittivi.

Posso usare la stessa chiave per il sito live e per lo staging?

No, è fortemente sconsigliato utilizzare lo stesso endpoint per entrambi gli ambienti. Crea sempre due webhook separati all’interno della dashboard di Stripe. Assegna a ciascuna installazione il rispettivo URL e utilizza le corrispondenti chiavi di firma per evitare che ordini di test interferiscano con il negozio reale.

Come posso testare i webhook in locale sul mio computer?

Per eseguire test su un ambiente locale come LocalWP o XAMPP devi usare la Stripe CLI. Questo strumento da riga di comando permette di inoltrare gli eventi generati sul cloud direttamente al tuo localhost. La CLI fornisce automaticamente un segreto di firma temporaneo da inserire nel file di configurazione locale.