Confiez vos livraisons à Dalishap

Authorization: Bearer dlp_test_xxxxxxxx
Dalishap-Timestamp: 1763123400                 # secondes Unix
Dalishap-Signature: v1=<hex>                   # HMAC-SHA256(signingSecret, timestamp + "." + corps brut)
Idempotency-Key: <uuid>                        # obligatoire sur tous les POST

import crypto from 'node:crypto';

const BASE = 'https://dalishap-api.silam.ci/api/v1/partner';
const API_KEY = process.env.DALISHAP_API_KEY;               // dlp_live_… ou dlp_test_…
const SIGNING_SECRET = process.env.DALISHAP_SIGNING_SECRET;

/**
 * idempotencyKey : une clé par action métier (ex. `delivery-${orderId}`),
 * conservée pour réessayer la même action. Absente : une clé neuve par appel.
 */
export async function dalishap(method, path, body, idempotencyKey) {
  const raw = body === undefined ? '' : JSON.stringify(body);
  const timestamp = Math.floor(Date.now() / 1000).toString();
  const signature = crypto
    .createHmac('sha256', SIGNING_SECRET)
    .update(`${timestamp}.${raw}`)
    .digest('hex');

  const headers = {
    Authorization: `Bearer ${API_KEY}`,
    'Dalishap-Timestamp': timestamp,
    'Dalishap-Signature': `v1=${signature}`,
  };
  if (raw) headers['Content-Type'] = 'application/json';
  if (method === 'POST') headers['Idempotency-Key'] = idempotencyKey ?? crypto.randomUUID();

  const res = await fetch(BASE + path, { method, headers, body: raw || undefined });
  const data = await res.json();
  if (!res.ok) throw Object.assign(new Error(data.error?.message), data.error);
  return data;
}

// Exemples
const communes = await dalishap('GET', '/communes');

// Créer la livraison d'une commande : la clé dépend de la commande, pas de l'appel.
const key = `delivery-${order.id}-${quote.id}`;
let delivery;
try {
  delivery = await dalishap('POST', '/deliveries', payload, key);
} catch (err) {
  if (err.code && err.code !== 'INTERNAL') throw err;   // erreur métier : ne pas réessayer
  // Timeout, réseau ou 5xx : même clé, même corps → réponse rejouée, jamais de 2e livraison.
  delivery = await dalishap('POST', '/deliveries', payload, key);
}

TS=$(date +%s)
BODY='{"pickup":{"externalRef":"outlet_42","name":"Chez Tantie","phone":"+2250700000001","latitude":5.3712,"longitude":-3.9748,"address":"Riviera 2"},"dropoff":{"latitude":5.3540,"longitude":-3.9921}}'
SIG=$(printf '%s.%s' "$TS" "$BODY" | openssl dgst -sha256 -hmac "$DALISHAP_SIGNING_SECRET" | sed 's/^.* //')

curl -X POST https://dalishap-api.silam.ci/api/v1/partner/quotes \
  -H "Authorization: Bearer $DALISHAP_API_KEY" \
  -H "Dalishap-Timestamp: $TS" \
  -H "Dalishap-Signature: v1=$SIG" \
  -H "Idempotency-Key: $(uuidgen)" \
  -H "Content-Type: application/json" \
  --data "$BODY"

SEARCHING ──► COURIER_ASSIGNED ──► PICKED_UP ──► DELIVERED
    │               │                  │
    ├─► EXPIRED     ├─► SEARCHING *    └─► FAILED
    └─► CANCELLED   └─► CANCELLED

* le coursier s'est désisté avant le retrait : nouvelle recherche, même prix

{
  "id": "8c2f6b0d-…",                      // = en-tête Dalishap-Event-Id
  "type": "delivery.courier_assigned",
  "createdAt": "2026-11-14T12:41:03Z",
  "data": {
    "deliveryId": "5a1d0c3e-77b2-…",
    "externalRef": "ord_91c0",
    "status": "COURIER_ASSIGNED",
    "sequence": 3,
    "…": "champs propres à l'événement"
  }
}

import crypto from 'node:crypto';
import express from 'express';

const app = express();

// Corps BRUT : la signature porte sur les octets reçus, pas sur le JSON reparsé.
app.post('/webhooks/dalishap', express.raw({ type: 'application/json' }), (req, res) => {
  const timestamp = req.get('Dalishap-Timestamp') ?? '';
  const header = req.get('Dalishap-Signature') ?? '';
  const expected = crypto
    .createHmac('sha256', process.env.DALISHAP_WEBHOOK_SECRET)
    .update(`${timestamp}.`)
    .update(req.body)
    .digest('hex');

  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) <= 300;
  // Une seule valeur v1= aujourd'hui ; découper sur « , » reste compatible si d'autres s'ajoutent.
  const valid = header.split(',').some((part) => {
    const sig = part.trim().replace(/^v1=/, '');
    return sig.length === expected.length &&
      crypto.timingSafeEqual(Buffer.from(sig), Buffer.from(expected));
  });
  if (!fresh || !valid) return res.sendStatus(401);

  const event = JSON.parse(req.body);
  // 1. Dédoublonner sur event.id (livraison « au moins une fois »).
  // 2. Ignorer un event.data.sequence inférieur au dernier traité pour cette livraison.
  // 3. Répondre vite (< 5 s) ; traiter en arrière-plan si besoin.
  res.sendStatus(200);
});

{
  "error": {
    "code": "QUOTE_EXPIRED",
    "message": "Le devis a expiré, demandez-en un nouveau.",
    "requestId": "req_…"
  }
}

POST /deliveries/{id}/simulate
{ "event": "courier_assigned" }     // courier_location | picked_up | delivered | failed | expired