Um webhook é uma requisição HTTP não confiável até ser verificado. Formatos de assinatura variam entre provedores; a verificação deve seguir a documentação exata da integração.
01 / Preserve os bytes assinados
Leia o corpo bruto antes de interpretar ou serializar novamente o JSON. A assinatura pode cobrir esses bytes exatos, combinados ou não com outros campos. Limite o tamanho antes de operações custosas.
02 / Siga o esquema do provedor
Interprete o formato documentado do cabeçalho, calcule o valor esperado e compare com uma função de tempo constante. Não compare um cabeçalho estruturado diretamente com um hash. Verifique atualidade quando o esquema permitir.
03 / Separe recebimento de processamento
Após verificar, registre ou enfileire o evento de forma persistente e responda conforme o contrato de retentativas. Use identificadores ou uma chave de deduplicação para impedir entregas repetidas.
04 / Teste os limites
Teste conteúdo alterado, segredo incorreto, cabeçalho inválido, duplicação e eventos fora de ordem. Na rotação, defina uma sobreposição limitada e remova segredos antigos com cuidado. Nunca registre os próprios segredos.
Guia de planejamento. Confirme os procedimentos na documentação da sua versão e procure suporte qualificado para o seu ambiente. Revisado em 31 de outubro de 2026.