Webhook de Atendimento

const crypto = require('crypto');

// use o corpo bruto (antes do JSON.parse) para calcular o HMAC
app.post('/webhook', express.raw({ type: 'application/json' }), (req, res) => {
  const esperado =
    'sha256=' + crypto.createHmac('sha256', SECRET).update(req.body).digest('hex');

  const recebido = req.headers['x-webhook-signature'] || '';
  const valido =
    recebido.length === esperado.length &&
    crypto.timingSafeEqual(Buffer.from(recebido), Buffer.from(esperado));

  if (!valido) return res.status(401).end();

  const evento = JSON.parse(req.body);
  res.status(200).end();
});

import hmac, hashlib
from flask import Flask, request

@app.post('/webhook')
def webhook():
    corpo = request.get_data()  # corpo bruto
    esperado = 'sha256=' + hmac.new(SECRET.encode(), corpo, hashlib.sha256).hexdigest()
    recebido = request.headers.get('X-Webhook-Signature', '')

    if not hmac.compare_digest(recebido, esperado):
        return '', 401

    evento = request.get_json()
    return '', 200

<?php
$corpo = file_get_contents('php://input'); // corpo bruto
$esperado = 'sha256=' . hash_hmac('sha256', $corpo, $secret);
$recebido = $_SERVER['HTTP_X_WEBHOOK_SIGNATURE'] ?? '';

if (!hash_equals($esperado, $recebido)) {
    http_response_code(401);
    exit;
}

$evento = json_decode($corpo, true);
http_response_code(200);