Developer Docs

const crypto = require("crypto");
const express = require("express");
const app = express();

function verificarWebhook(bodyBytes, assinaturaRecebida) {
  // Use os bytes exatos recebidos. Recriar o JSON altera a assinatura.
  if (!Buffer.isBuffer(bodyBytes)) return false;

  const assinaturaEsperada = "sha256=" + crypto
    .createHmac("sha256", process.env.WEBHOOK_SECRET)
    .update(bodyBytes)
    .digest("hex");

  // Comparação segura contra timing attacks
  const recvBuf = Buffer.from(assinaturaRecebida ?? "", "ascii");
  const expBuf  = Buffer.from(assinaturaEsperada, "ascii");

  if (recvBuf.length !== expBuf.length) return false;
  return crypto.timingSafeEqual(recvBuf, expBuf);
}

app.post(
  "/webhooks/laurinhia",
  express.raw({ type: "application/json" }),
  (req, res) => {
    const assinatura = req.headers["x-webhook-signature"];
    if (!verificarWebhook(req.body, assinatura)) return res.sendStatus(401);

    const evento = JSON.parse(req.body.toString("utf8"));
    // Persista/deduplicate evento.id antes de processar em background.
    return res.sendStatus(200);
  },
);

import hmac, hashlib

def verificar_webhook(body_bytes: bytes, assinatura_recebida: str, secret: str) -> bool:
    """Verifica assinatura HMAC-SHA256 do webhook."""
    assinatura_esperada = "sha256=" + hmac.new(
        secret.encode("utf-8"),
        body_bytes,
        hashlib.sha256
    ).hexdigest()

    # Comparação segura contra timing attacks
    return hmac.compare_digest(assinatura_recebida, assinatura_esperada)


# Em um handler FastAPI:
from fastapi import Request, HTTPException

@app.post("/meu-webhook")
async def handle_webhook(request: Request):
    body = await request.body()
    sig = request.headers.get("x-webhook-signature", "")

    if not verificar_webhook(body, sig, WEBHOOK_SECRET):
        raise HTTPException(status_code=401, detail="Assinatura inválida")

    payload = await request.json()
    # processar...

<?php
function verificarWebhook(string $payload, string $assinaturaRecebida, string $secret): bool {
    $assinaturaEsperada = "sha256=" . hash_hmac("sha256", $payload, $secret);

    // Comparação segura contra timing attacks
    return hash_equals($assinaturaEsperada, $assinaturaRecebida);
}

// Em um controller Laravel / endpoint puro:
$payload   = file_get_contents("php://input");
$assinatura = $_SERVER["HTTP_X_WEBHOOK_SIGNATURE"] ?? "";

if (!verificarWebhook($payload, $assinatura, getenv("WEBHOOK_SECRET"))) {
    http_response_code(401);
    die("Assinatura inválida");
}

$dados = json_decode($payload, true);
// processar...