Els servidors del fedivers només accepten les activitats signades.

spla@spla.cat

Els servidors del fedivers només accepten les activitats signades. Per a signar una activitat, per exemple 'Create' quan publiquem un tut, el servidor la signa amb la nostra clau privada, generant una clau xifrada que s'envia al mateix temps en els headers. Els servidors federats remots reben el conjunt activitat+headers i mitjançant la clau pública del usuari remitent, desxifren la clau xifrada per a confirmar l'origen i si és correcte, mostren el tut en les seves línies de temps.

spla@mastodont.cat

Explicat així sembla fàcil però és la part més complexe, per molt, quan programes un servidor ActivityPub
- activitat en format json
- calcular el digest, un hash SHA-256 del json codificat en Base64
- afegir el Digest a la capçalera http
- preparar les capçaleres http especifiques: (request-target), host, date i digest en una cadena de text
- signar la cadena amb la clau privada i codificar-la en Base64
- afegir la capçalera Signature
- afegir totes les capçaleres a la petició POST
- enviar tot