Інтеграція CRMMECH з вашою системою

<?php
// events.php  (GET /health — аналогічно, лише перевірка X-API-Key)
$apiKey = getenv('CRMMECH_API_KEY');         // mk_...

$raw = file_get_contents('php://input');     // сире тіло
$key = $_SERVER['HTTP_X_API_KEY'] ?? '';
$ts  = $_SERVER['HTTP_X_MECH_TIMESTAMP'] ?? '';
$sig = $_SERVER['HTTP_X_MECH_SIGNATURE'] ?? '';

$expected = 'sha256=' . hash_hmac('sha256', $ts . '.' . $raw, $apiKey);
$fresh = ctype_digit($ts) && abs(time() - (int)$ts) <= 300;

if (!hash_equals($apiKey, $key) || !$fresh || !hash_equals($expected, $sig)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
if (alreadyProcessed($event['id'])) {         // ідемпотентність
    echo json_encode(['ok' => true, 'duplicate' => true]);
    exit;
}
$doc = upsertOrder($event['type'], $event['data']);
markProcessed($event['id']);

header('Content-Type: application/json');
echo json_encode(['ok' => true, 'document' => $doc]);

// Express. npm i express
const express = require('express');
const crypto = require('crypto');

const API_KEY = process.env.CRMMECH_API_KEY;   // mk_...
const app = express();

const safeEqual = (a, b) =>
  a.length === b.length && crypto.timingSafeEqual(Buffer.from(a), Buffer.from(b));

app.get('/health', (req, res) =>
  safeEqual(req.get('X-API-Key') || '', API_KEY) ? res.json({ status: 'ok' }) : res.sendStatus(401));

// express.raw — щоб отримати СИРЕ тіло, а не вже розпарсений JSON
app.post('/events', express.raw({ type: 'application/json' }), (req, res) => {
  const ts = req.get('X-Mech-Timestamp') || '';
  const expected = 'sha256=' + crypto.createHmac('sha256', API_KEY)
    .update(ts + '.').update(req.body).digest('hex');
  const fresh = /^\d+$/.test(ts) && Math.abs(Date.now() / 1000 - Number(ts)) <= 300;

  if (!safeEqual(req.get('X-API-Key') || '', API_KEY) || !fresh ||
      !safeEqual(req.get('X-Mech-Signature') || '', expected)) {
    return res.sendStatus(401);
  }

  const event = JSON.parse(req.body.toString('utf8'));
  if (alreadyProcessed(event.id)) return res.json({ ok: true, duplicate: true });
  const doc = upsertOrder(event.type, event.data);
  markProcessed(event.id);
  res.json({ ok: true, document: doc });
});

app.listen(8080);

// ASP.NET Core (Minimal API), .NET 6+
using System.Security.Cryptography;
using System.Text;
using System.Text.Json;

var apiKey = Environment.GetEnvironmentVariable("CRMMECH_API_KEY")!;   // mk_...
var app = WebApplication.Create(args);

bool SafeEq(string a, string b) =>
    CryptographicOperations.FixedTimeEquals(Encoding.UTF8.GetBytes(a), Encoding.UTF8.GetBytes(b));

app.MapGet("/health", (HttpRequest r) =>
    SafeEq(r.Headers["X-API-Key"].ToString(), apiKey) ? Results.Ok(new { status = "ok" }) : Results.Unauthorized());

app.MapPost("/events", async (HttpRequest r) =>
{
    using var ms = new MemoryStream();
    await r.Body.CopyToAsync(ms);
    var raw = ms.ToArray();                                   // сире тіло

    var ts = r.Headers["X-Mech-Timestamp"].ToString();
    using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(apiKey));
    var mac = hmac.ComputeHash(Encoding.UTF8.GetBytes(ts + ".").Concat(raw).ToArray());
    var expected = "sha256=" + Convert.ToHexString(mac).ToLowerInvariant();
    var fresh = long.TryParse(ts, out var t) && Math.Abs(DateTimeOffset.UtcNow.ToUnixTimeSeconds() - t) <= 300;

    if (!SafeEq(r.Headers["X-API-Key"].ToString(), apiKey) || !fresh ||
        !SafeEq(r.Headers["X-Mech-Signature"].ToString(), expected))
        return Results.Unauthorized();

    var ev = JsonDocument.Parse(raw).RootElement;
    var id = ev.GetProperty("id").GetString();
    // ідемпотентність по id → upsert документа по data.record_id
    return Results.Ok(new { ok = true });
});

app.Run();

// Модуль HTTP-сервісу 1С. Шаблони: /health (GET → HealthGET), /events (POST → EventsPOST).
// Тут перевіряється X-API-Key (достатньо через HTTPS). HMAC-підпис у 1С можна додати пізніше.

Функция HealthGET(Запрос)
	Если Заголовок(Запрос, "X-API-Key") <> КлючCRMMECH() Тогда
		Возврат Новый HTTPСервисОтвет(401);
	КонецЕсли;
	Возврат ОтветJSON(200, "{""status"":""ok""}");
КонецФункции

Функция EventsPOST(Запрос)
	Если Заголовок(Запрос, "X-API-Key") <> КлючCRMMECH() Тогда
		Возврат Новый HTTPСервисОтвет(401);
	КонецЕсли;

	Чтение = Новый ЧтениеJSON;
	Чтение.УстановитьСтроку(Запрос.ПолучитьТелоКакСтроку(КодировкаТекста.UTF8));
	Событие = ПрочитатьJSON(Чтение, Истина);   // Соответствие
	Чтение.Закрыть();

	ИдСобытия  = Событие.Получить("id");
	ТипСобытия = Событие.Получить("type");
	Данные     = Событие.Получить("data");

	Если СобытиеУжеОбработано(ИдСобытия) Тогда   // ідемпотентність
		Возврат ОтветJSON(200, "{""ok"":true,""duplicate"":true}");
	КонецЕсли;

	Если ТипСобытия = "vehicle.arrived" Или ТипСобытия = "vehicle.updated" Тогда
		// Шукаємо замовлення-наряд за Данные.Получить("record_id"):
		// немає — створюємо, є — оновлюємо (статус, час останньої появи, фото).
		ЗаписатьЗаездCRMMECH(ТипСобытия, Данные);
	КонецЕсли;
	ОтметитьСобытиеОбработанным(ИдСобытия);

	Возврат ОтветJSON(200, "{""ok"":true}");
КонецФункции

Функция Заголовок(Запрос, Имя)
	// Назви заголовків можуть прийти в іншому регістрі
	Для Каждого КЗ Из Запрос.Заголовки Цикл
		Если НРег(КЗ.Ключ) = НРег(Имя) Тогда
			Возврат КЗ.Значение;
		КонецЕсли;
	КонецЦикла;
	Возврат "";
КонецФункции

Функция ОтветJSON(Код, Текст)
	Ответ = Новый HTTPСервисОтвет(Код);
	Ответ.Заголовки.Вставить("Content-Type", "application/json; charset=utf-8");
	Ответ.УстановитьТелоИзСтроки(Текст, КодировкаТекста.UTF8);
	Возврат Ответ;
КонецФункции