Signature invalid

Gejala

• Verifikasi HMAC gagal
• Payload ditolak sebagai tidak sah

Kemungkinan penyebab

• Body diparse sebelum hashing (bukan raw)
• Signing secret salah
• Encoding berbeda

Cara memperbaiki

• Hash raw body persis seperti diterima
• Pakai signing secret yang benar
• Gunakan `timingSafeEqual`