Webhooks de saída e assinatura

{
  "id": "5e458e2a-2f89-4c56-8f5e-f6bfa9ef0a35",
  "evento": "mensagem.recebida",
  "criado_em": "2026-10-04T13:05:12.481Z",
  "organizacao_id": "dddecb67-6b55-43da-94f6-18c8d6680571",
  "dados": {
    "mensagem": {
      "id": "4e8cb5d0-2d89-4fc2-93bb-c8e5e17d4629",
      "conversa_id": "495a7cae-128c-4b66-adbc-807b3959c129",
      "direcao": "entrada",
      "tipo": "texto",
      "texto": "Oi, queria remarcar minha consulta",
      "autor_tipo": "contato",
      "criado_em": "2026-10-04T13:05:11.902Z"
    },
    "conversa": {
      "id": "495a7cae-128c-4b66-adbc-807b3959c129",
      "estado": "aberta",
      "caixa_id": "7a9d53e9-9d1b-4122-923b-fac67958f445"
    },
    "contato": {
      "id": "08054a7f-a752-481e-9915-cf4cf944df39",
      "nome": "Maria Souza",
      "telefone": "+5531988887777"
    }
  }
}

curl + openssl (testar o seu receptor)

import crypto from 'node:crypto';
import express from 'express';

const app = express();
const SEGREDO = process.env.FORSI_WEBHOOK_SEGREDO; // whsec_... (o texto inteiro, com o prefixo)

// leia o corpo CRU (texto), antes de qualquer JSON.parse
app.post('/webhooks/forsi', express.text({ type: '*/*' }), (req, res) => {
  const cabecalho = req.get('X-Forsi-Signature') ?? '';
  const t = /t=(\d+)/.exec(cabecalho)?.[1];
  const recebidas = [...cabecalho.matchAll(/v1=([0-9a-f]{64})/g)].map((m) => m[1]);
  if (!t || Math.abs(Date.now() / 1000 - Number(t)) > 300) return res.sendStatus(400);

  const esperada = crypto.createHmac('sha256', SEGREDO).update(t + '.' + req.body).digest('hex');
  const ok = recebidas.some((a) => crypto.timingSafeEqual(Buffer.from(a), Buffer.from(esperada)));
  if (!ok) return res.sendStatus(401);

  const evento = JSON.parse(req.body);
  // evento.id é o mesmo em todas as tentativas: ignore se já processou
  res.sendStatus(200); // responda em até 10 s; trabalho pesado vai para a sua fila
});

import hashlib
import hmac
import json
import os
import re
import time

from flask import Flask, abort, request

app = Flask(__name__)
SEGREDO = os.environ["FORSI_WEBHOOK_SEGREDO"]  # whsec_... (o texto inteiro, com o prefixo)

@app.post("/webhooks/forsi")
def receber():
    cabecalho = request.headers.get("X-Forsi-Signature", "")
    t = re.search(r"t=(\d+)", cabecalho)
    recebidas = re.findall(r"v1=([0-9a-f]{64})", cabecalho)
    if not t or abs(time.time() - int(t.group(1))) > 300:
        abort(400)

    corpo = request.get_data()  # bytes crus, antes de qualquer json.loads
    esperada = hmac.new(SEGREDO.encode(), t.group(1).encode() + b"." + corpo, hashlib.sha256).hexdigest()
    if not any(hmac.compare_digest(esperada, a) for a in recebidas):
        abort(401)

    evento = json.loads(corpo)
    # evento["id"] é o mesmo em todas as tentativas: ignore se já processou
    return "", 200

<?php
$segredo = getenv('FORSI_WEBHOOK_SEGREDO'); // whsec_... (o texto inteiro, com o prefixo)
$corpo = file_get_contents('php://input');  // corpo cru, antes de json_decode
$cabecalho = $_SERVER['HTTP_X_FORSI_SIGNATURE'] ?? '';

preg_match('/t=(\d+)/', $cabecalho, $t);
preg_match_all('/v1=([0-9a-f]{64})/', $cabecalho, $v);
if (!$t || abs(time() - (int) $t[1]) > 300) { http_response_code(400); exit; }

$esperada = hash_hmac('sha256', $t[1] . '.' . $corpo, $segredo);
foreach ($v[1] as $a) {
  if (hash_equals($esperada, $a)) {
    $evento = json_decode($corpo, true);
    // $evento['id'] é o mesmo em todas as tentativas: ignore se já processou
    http_response_code(200);
    exit;
  }
}
http_response_code(401);

# Simula uma entrega assinada para testar o seu receptor (mesma conta que a FORSI faz).
SEGREDO="whsec_EXAMPLE"   # o segredo do webhook, inteiro, com o prefixo
T=$(date +%s)
CORPO='{"id":"9c1d2e3f-4a5b-4c6d-8e7f-0a1b2c3d4e5f","evento":"mensagem.recebida","criado_em":"2026-10-04T13:05:12.481Z","dados":{}}'

V1=$(printf '%s.%s' "$T" "$CORPO" | openssl dgst -sha256 -hmac "$SEGREDO" | sed 's/^.*= //')

curl -X POST "https://seu-sistema.com.br/webhooks/forsi" \
  -H "Content-Type: application/json" \
  -H "X-Forsi-Event: mensagem.recebida" \
  -H "X-Forsi-Delivery: 5b6c7d8e-9f0a-4b1c-8d2e-3f4a5b6c7d8e" \
  -H "X-Forsi-Timestamp: $T" \
  -H "X-Forsi-Signature: t=$T,v1=$V1" \
  --data-raw "$CORPO"