Webhooks salientes en tiempo real y verificación de firma de seguridad HMAC-SHA256

Los Webhooks salientes de Waclis Inbox notifican en tiempo real a tus servidores o sistemas externos cada vez que ocurre un evento relevante en la plataforma (nuevo mensaje, cambio de estado o actualización de contacto), validando la integridad de los datos mediante firma criptográfica HMAC-SHA256.

Eventos soportados por los Webhooks

Waclis Inbox puede despachar eventos HTTP POST en formato JSON ante las siguientes acciones:

• conversation_created: Se inicia una nueva conversación en cualquier canal.
• message_created: Se recibe o envía un mensaje (entrante, saliente o nota interna).
• conversation_status_changed: La conversación cambia de estado (abierta, pendiente o resuelta).
• contact_created / contact_updated: Se da de alta o modifican atributos de un contacto.

Configuración de la URL de Webhook y firma de seguridad

Paso 1: Dar de alta el Webhook

1. Ve a Ajustes > Integraciones > Webhooks.
2. Haz clic en Agregar nuevo webhook.
3. Ingresa la URL HTTPS segura de tu servidor endpoint.
4. Selecciona los eventos a los que deseas suscribirte y guarda los cambios.

Paso 2: Verificación de firma HMAC-SHA256

Para verificar que las peticiones provienen genuinamente de Waclis Inbox y no han sido alteradas en tránsito, cada solicitud HTTP incluye la cabecera:

X-Waclis-Signature: sha256=<hash_hexadecimal>

Tu servidor debe calcular el hash HMAC con algoritmo SHA-256 sobre el cuerpo bruto (raw body) de la petición utilizando el Secret Token provisto en el panel de Waclis Inbox y validar que coincida con el valor de la cabecera.

Comprobación

Envía un mensaje de prueba en una conversación y verifica en los logs de tu servidor receptor que se reciba el payload JSON con la cabecera X-Waclis-Signature y que la validación HMAC sea exitosa.

Límites y buenas prácticas

El servidor endpoint debe responder con un código de estado HTTP 200 OK en un tiempo prudencial; de lo contrario, el motor de Webhooks aplicará reintentos automáticos con retroceso exponencial.

Artículos relacionados

• API REST Universal y Platform Apps: autenticación, tokens y endpoints principales
• Diagnóstico: Los eventos de conversaciones no se reflejan en el webhook o CRM externo