Bot de alertas en Telegram para pedidos de WooCommerce con webhooks seguros
Script en Python con verificación de firma HMAC-SHA256 para recibir eventos instantáneos en el móvil sin instalar plugins de terceros de dudosa procedencia.
Ficha de laminación y parámetros de impresión
Por qué evitar plugins de notificación cargados de telemetría
En el directorio de extensiones de WordPress abundan plugins de terceros dedicados a enviar alertas de venta. La gran mayoría incluye scripts de seguimiento de conversión, librerías pesadas y planes de suscripción mensual innecesarios para una tarea elemental: notificar al artesano cuando alguien ha adquirido un producto.
WooCommerce cuenta de serie con un sistema de webhooks nativo y robusto capaz de enviar payloads JSON cifrados a cualquier URL en el mismo milisegundo en que el cliente completa el pago.
Configuración del webhook nativo de WooCommerce
En el panel de WooCommerce > Ajustes > Avanzado > Webhooks creamos una suscripción para el tema Pedido creado o Pedido actualizado, asignando una clave secreta aleatoria de 32 bytes y apuntando al endpoint de nuestro microservicio en el VPS.
«Asegurar los endpoints de ingesta con validación de firma evita que terceros malintencionados puedan disparar notificaciones falsas mediante peticiones HTTP forjadas.»
Verificación estricta de la firma criptográfica HMAC-SHA256
WooCommerce firma el cuerpo íntegro de la petición y lo envía en la cabecera X-WC-Webhook-Signature como base64 del resumen HMAC-SHA256. En Python, es crítico utilizar hmac.compare_digest para comparar la firma calculada con la recibida; una comparación directa mediante == abre la puerta a ataques de análisis de temporización.
Formateo elegante del mensaje en Telegram con botones inline
Una vez validada la autenticidad del paquete, el script extrae el nombre del comprador, productos adquiridos y total abonado, despachando el mensaje a la API de Telegram con botones inline que enlazan directamente a la ficha del pedido en el panel de control de WordPress.
