2xx rápido, deduplicam pelo id de evento de nível superior, transferem a
reconciliação lenta para segundo plano, ignoram redelivery e alteram o estado de negócio somente em
eventos confirmados. Quando o webhook tem Token de Segurança, verifique
X-Pagou-Timestamp e X-Pagou-Signature antes de confiar no corpo, e ainda reconcilie o recurso
com GET. Webhooks sem Token de Segurança, e postbacks de notify_url, vão sem assinatura. A
verificação está em Verificando a assinatura HMAC.
Uma verificação executável em TypeScript está no
exemplo de webhooks.
Guia: Visão geral de webhooks ·
Eventos de pagamento ·
Eventos de assinatura ·
Eventos de transferência ·
Retentativas & reconciliação
A entrega de webhook é inbound, então não há operação OpenAPI para referenciar.