Shopify: un webhook, un servicio en medio y una factura

import crypto from "node:crypto";

const BASE = "https://erp.cairos.es/api/v1";

// 1 · La firma de Shopify: HMAC-SHA256 en base64 del cuerpo
//     crudo, con el secreto de tu aplicación. Cuerpo CRUDO:
//     si lo reserializas, no cuadra.
function deShopify(crudo, firma, secreto) {
  const esperada = crypto
    .createHmac("sha256", secreto)
    .update(crudo, "utf8")
    .digest("base64");
  const a = Buffer.from(esperada);
  const b = Buffer.from(String(firma));
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

async function cairos(ruta, cuerpo, llave) {
  const cabeceras = {
    Authorization: "Bearer " + process.env.CAIROS_CLAVE,
    "Content-Type": "application/json",
  };
  if (llave) cabeceras["Idempotency-Key"] = llave;

  const r = await fetch(BASE + ruta, {
    method: "POST",
    headers: cabeceras,
    body: cuerpo ? JSON.stringify(cuerpo) : undefined,
  });

  const datos = await r.json();
  if (!r.ok) {
    throw new Error("Cairos " + r.status + ": " + datos.error.codigo);
  }
  return datos;
}

export async function handler(peticion) {
  const crudo = await peticion.text();

  if (!deShopify(crudo, peticion.headers.get("x-shopify-hmac-sha256"),
                 process.env.SHOPIFY_SECRETO)) {
    return new Response("Firma no valida", { status: 401 });
  }

  const pedido = JSON.parse(crudo);
  const llave = "shopify-" + pedido.id;

  const contacto = await cairos("/contactos", {
    nombre: pedido.billing_address.company || pedido.billing_address.name,
    nif: (pedido.note_attributes || [])
      .find((a) => a.name === "nif")?.value,
    email: pedido.email,
    tipo: "cliente",
  }, llave + "-contacto");

  const lineas = pedido.line_items.map((l) => ({
    concepto: l.title,
    cantidad: l.quantity,
    precio: Number(l.price),
    iva: 21,
  }));

  const factura = await cairos("/facturas", {
    contacto_id: contacto.id,
    serie: "WEB",
    fecha: pedido.created_at.slice(0, 10),
    lineas,
  }, llave);

  const emitida = await cairos(
    "/facturas/" + factura.id + "/emitir",
    null,
    llave + "-emitir"
  );

  await cairos("/cobros", {
    factura_id: factura.id,
    fecha: pedido.created_at.slice(0, 10),
    importe: Number(pedido.total_price),
    medio: "tarjeta",
  }, llave + "-cobro");

  // Responder rápido: Shopify reintenta si tardas.
  return Response.json({ numero: emitida.numero });
}