Factura desde tu sistema con la API de miCFDI

C#

using System.Security.Cryptography;
using System.Text;

static bool FirmaValida(string cabecera, string secreto, string cuerpo, TimeSpan tolerancia)
{
    string? t = null;
    var firmas = new List<string>();
    foreach (string parte in cabecera.Split(','))
    {
        string[] kv = parte.Trim().Split('=', 2);
        if (kv.Length != 2) continue;
        if (kv[0] == "t") t = kv[1];
        else if (kv[0] == "v1") firmas.Add(kv[1]);
    }
    if (t is null || !long.TryParse(t, out long marca)) return false;
    // Anti-repetición: rechaza firmas viejas.

    if (Math.Abs(DateTimeOffset.UtcNow.ToUnixTimeSeconds() - marca) > tolerancia.TotalSeconds) return false;

    byte[] hmac = HMACSHA256.HashData(Encoding.UTF8.GetBytes(secreto), Encoding.UTF8.GetBytes(t + "." + cuerpo));
    byte[] esperada = Encoding.ASCII.GetBytes(Convert.ToHexString(hmac).ToLowerInvariant());
    return firmas.Any(f => CryptographicOperations.FixedTimeEquals(esperada, Encoding.ASCII.GetBytes(f.ToLowerInvariant())));
}

// ASP.NET Core: lee el cuerpo tal como llegó (no lo vuelvas a serializar).

app.MapPost("/webhooks/micfdi", async (HttpRequest req) =>
{
    using var lector = new StreamReader(req.Body, Encoding.UTF8);
    string cuerpo = await lector.ReadToEndAsync();
    if (!FirmaValida(req.Headers["MiCFDI-Firma"].ToString(), Environment.GetEnvironmentVariable("MICFDI_WHSEC")!, cuerpo, TimeSpan.FromMinutes(5)))
        return Results.Unauthorized();
    using var evento = System.Text.Json.JsonDocument.Parse(cuerpo);
    // Nunca proceses un evento de pruebas como real.

    if (evento.RootElement.GetProperty("modo").GetString() != "live") return Results.Ok();
    // … procesa el evento (idempotente por "id") …

    return Results.Ok();
});

Node.js

// Node.js 18 o más reciente, con Express. express.raw entrega el cuerpo tal como llegó.

import crypto from 'node:crypto';
import express from 'express';

function firmaValida(cabecera, secreto, cuerpo, toleranciaSegundos = 300) {
  let t = null;
  const firmas = [];
  for (const parte of String(cabecera || '').split(',')) {
    const [clave, valor] = parte.trim().split('=');
    if (clave === 't') t = valor;
    else if (clave === 'v1' && valor) firmas.push(valor.toLowerCase());
  }
  // Anti-repetición: rechaza firmas viejas.

  if (!/^\d+$/.test(t || '') || Math.abs(Date.now() / 1000 - Number(t)) > toleranciaSegundos) return false;
  const esperada = crypto.createHmac('sha256', secreto).update(`${t}.${cuerpo}`).digest('hex');
  return firmas.some(f => f.length === esperada.length &&
    crypto.timingSafeEqual(Buffer.from(f), Buffer.from(esperada)));
}

const app = express();
app.post('/webhooks/micfdi', express.raw({ type: 'application/json' }), (req, res) => {
  const cuerpo = req.body.toString('utf8');
  if (!firmaValida(req.get('MiCFDI-Firma'), process.env.MICFDI_WHSEC, cuerpo)) return res.sendStatus(401);
  const evento = JSON.parse(cuerpo);
  // Nunca proceses un evento de pruebas como real.

  if (evento.modo !== 'live') return res.sendStatus(200);
  // … procesa el evento (idempotente por evento.id) …

  res.sendStatus(200);
});

PHP

<?php
// PHP 7.4 o más reciente. Usa el cuerpo tal como llegó (php://input): no lo vuelvas a serializar.

function firmaValida(string $cabecera, string $secreto, string $cuerpo, int $tolerancia = 300): bool
{
    $t = null;
    $firmas = [];
    foreach (explode(',', $cabecera) as $parte) {
        $kv = explode('=', trim($parte), 2);
        if (count($kv) !== 2) continue;
        if ($kv[0] === 't') $t = $kv[1];
        elseif ($kv[0] === 'v1') $firmas[] = strtolower($kv[1]);
    }
    // Anti-repetición: rechaza firmas viejas.

    if ($t === null || !ctype_digit($t) || abs(time() - (int) $t) > $tolerancia) return false;
    $esperada = hash_hmac('sha256', $t . '.' . $cuerpo, $secreto);
    foreach ($firmas as $f) {
        if (hash_equals($esperada, $f)) return true;
    }
    return false;
}

$cuerpo = file_get_contents('php://input');
if (!firmaValida($_SERVER['HTTP_MICFDI_FIRMA'] ?? '', getenv('MICFDI_WHSEC'), $cuerpo)) {
    http_response_code(401);
    exit;
}
$evento = json_decode($cuerpo, true);
// Nunca proceses un evento de pruebas como real.

if (($evento['modo'] ?? '') !== 'live') { http_response_code(200); exit; }
// … procesa el evento (idempotente por $evento['id']) …

http_response_code(200);