Чот у меня твои сигнатуры не верифицируются, хотя мастодоновские проходят ок.

Например этот коммент:

// Payload:
(request-target): post /social/inbox/?direct=y
host: top.ofthe.top
date: Sun, 03 Nov 2024 07:07:13 GMT
digest: SHA-256=Slyo0BxTitTKpiTlwwA/US/ljZnFxQKr3nXDXYH8zUs=

// Signature:
headers="(request-target) host date digest",algorithm="rsa-sha256",signature="aVnKAXmlZ0kBBI9jg4HabC0gnv9cnliw/zLDZPXWZbmI3ZfftMzjhh2XLWPN4kIm4up+MG1t/m6U7QRyYe9Nbdlx7gQGtJQLA9UDtRkqb7dxwFXJprrjasWU/SXiim6RVb8fptBiUVA5kt8bkmB8p4HJHeBY2cN8IkPslxTJBsVtzkkynNWKyPrWo6Isl1qDZX7oekTo5H6j0j8QgKIimCbUg434TTyU6nWzpPfWhyIIUBTrBI0o7i7Z2RxvB7rf5btJIHeKjFuZ+upTu0GaBcqBwrT3YWiIrtn5TC439P+e9FizU004zTCk3jSrnlxjs0Hdtq+PFyKw/1264AIQiw==",keyId="https://friends.grishka.me/users/1#main-key"

// Public Key:
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAjlakm+i/d9ER/
hIeR7KfiFW+SdLZj2SkKIeM8cmR+YFJuh9ghFqXrkFEjcaqUnAFqe5gYD
NSQACnDLA8y4DnzjfGNIohKAnRoa9x6GORmfKQvcnjaTZ53S1NvUiPPyc
0Pv/vfCtY/Ab0CEXe5BLqL38oZn817Jf7pBrPRTYH7m012kvwAUTT6k0Y
8lPITBEG7nzYbbuGcrN9Y/RDdwE08jmBXlZ45bahRH3VNXVpQE17dCzJB
+7k+iJ1R7YCoI+DuMlBYGXGE2KVk46NZTuLnOjFV9SyXfWX4/SrJM4oxe
v+SX2N75tQgmNZmVVHeqg2ZcbC0WCfNjJOi2HHS9MujwIDAQAB
-----END PUBLIC KEY-----

(request-target) пробовал и (request-target): post /social/inbox/?direct=y, и (request-target): post /social/inbox/ (я оставил у себя проверку обоих вариантов, т.к. старые версии мастодона продолжают использовать сигнатуры без get параметров.

Ещё заметил что от тебя шлются сообщения в inbox, а не в sharedInbox, как это делает мастодон и прочие (в данном случае не критично).