Webhooks

import crypto from 'node:crypto';
import express from 'express';

const app = express();

// Precisa do corpo BRUTO: com express.json() o JSON é reserializado e a assinatura muda.
app.post('/webhooks/v4pay', express.raw({ type: 'application/json' }), (req, res) => {
  const esperado = crypto
    .createHmac('sha256', process.env.V4PAY_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const recebido = req.get('X-V4Pay-Signature') || '';

  const ok =
    esperado.length === recebido.length &&
    crypto.timingSafeEqual(Buffer.from(esperado), Buffer.from(recebido));
  if (!ok) return res.status(401).end();

  const evento = JSON.parse(req.body);
  // grave e responda; processe depois
  res.status(200).end();
});

import hmac, hashlib, os
from flask import Flask, request, abort

app = Flask(__name__)

@app.post("/webhooks/v4pay")
def v4pay():
    corpo = request.get_data()  # bytes brutos
    esperado = hmac.new(
        os.environ["V4PAY_WEBHOOK_SECRET"].encode(), corpo, hashlib.sha256
    ).hexdigest()
    recebido = request.headers.get("X-V4Pay-Signature", "")
    if not hmac.compare_digest(esperado, recebido):
        abort(401)
    evento = request.get_json()
    # grave e responda; processe depois
    return "", 200