---
slug: server-events-signatur
title: "Wie signiere ich serverseitige Anfragen?"
category: installation
locale: de
updated: 2026-10-12
keywords: ["Signatur","HMAC","Replay","Sicherheit","Webhook","Nonce"]
questions: ["Wie funktioniert die HMAC-Signatur und der Replay-Schutz?","HMAC Signatur berechnen","Replay-Schutz","Wie sichere ich den Webhook ab?"]
url: https://bench.metrunio.com/de/hilfe/server-events-signatur
---

# Wie signiere ich serverseitige Anfragen?

**Wie funktioniert die HMAC-Signatur und der Replay-Schutz?**

Du sendest den Kopf x-metrunio-signature mit Zeitstempel und HMAC-SHA256 über "<Zeitstempel>.<roher Body>", berechnet mit dem Serverschlüssel. Das Zeitfenster beträgt fünf Minuten, und jede Signatur wird genau einmal akzeptiert.

```text
x-metrunio-signature: t=<unix-sekunden>,v1=<hex>
v1 = HMAC-SHA256(server_key, "<t>.<roher Body>")
```

- Signiert wird der rohe Body, byte-genau, vor jeder Umformatierung.
- Der Zeitstempel liegt höchstens fünf Minuten zurück oder in der Zukunft.
- Jede Signatur wird nur einmal akzeptiert; eine Wiederholung ergibt REPLAY_DETECTED.
- Für /v1/server/events ist die Signatur optional, für /v1/webhooks/conversions verpflichtend.

> **Achtung:** Formatiert ein Framework den Body vor dem Signieren um (etwa durch erneutes JSON-Serialisieren), stimmt die Signatur nicht mehr. Signiere genau die Bytes, die du sendest.

## Ebenfalls gefragt

- HMAC Signatur berechnen
- Replay-Schutz
- Wie sichere ich den Webhook ab?

## Weiterführend

- https://bench.metrunio.com/de/hilfe/server-events-api
- https://bench.metrunio.com/de/hilfe/webhooks-conversions
- https://bench.metrunio.com/de/hilfe/api-keys-rotieren