Autenticação dos webhooks
Os webhooks da Evob não são assinados com HMAC: a forma de o seu sistema reconhecer que o envio é legítimo é o cabeçalho Authorization, com um valor fixo definido por você ou com um token obtido por usuário e senha.
Onde configurar
Na janela Criar Webhook ou Editar Webhook, campo Tipo de autenticação, em Plataforma > Configuração > Webhooks ou Loja > Configurações > Webhooks.
As opções
| Opção | O que a Evob faz |
|---|---|
| Nenhuma (campo em branco) | Envia sem credencial |
| Authorization header | Envia o valor que você digitou no cabeçalho Authorization de cada requisição |
| Usuário e senha | Antes de enviar, pede um token em uma URL de autenticação com o usuário e a senha informados, e usa o token recebido no cabeçalho Authorization |
Authorization header
É a opção indicada para a maioria dos casos.
- Crie um valor secreto longo e aleatório.
- Em Tipo de autenticação, escolha Authorization header.
- Cole o valor no campo Authorization header, do jeito que o destino espera receber. Se o destino pede o formato
Bearer, escrevaBearerseguido do valor. - No seu sistema, recuse qualquer requisição que chegue sem esse valor exato no cabeçalho
Authorization.
O valor é enviado como está, sem transformação.
Usuário e senha
Use quando o destino exige um token temporário, obtido em um endereço de autenticação.
Campos:
- URL de autenticação (obrigatório): o endereço que devolve o token.
- Usuário (obrigatório).
- Senha (obrigatório).
A Evob envia o usuário e a senha para a URL de autenticação com os nomes client_id e client_secret, espera receber um campo access_token na resposta e passa a enviar Bearer seguido desse token.
⚠️ Esse fluxo depende de o destino seguir exatamente esse formato. Teste com um caso real antes de confiar nele. Se o destino aceitar um valor fixo, prefira o Authorization header.
O que não existe
- Assinatura HMAC. A Evob não envia cabeçalho de assinatura e não há chave secreta para validar o corpo.
- Lista de endereços IP de origem publicada, para liberar no seu firewall.
- Cabeçalhos personalizados além do
Authorization.
Como proteger o seu endereço
Sem assinatura, a segurança depende de três cuidados do seu lado:
- Exija o cabeçalho. Recuse requisições sem o valor correto no
Authorization. - Use
https://. O valor do cabeçalho trafega em toda requisição. - Não confie só no corpo para decisões sensíveis. Antes de liberar algo de valor a partir de um aviso de pedido, confira o número do pedido na lista de transações do admin ou na planilha exportada.
Se a sua ferramenta de destino não permite conferir o cabeçalho, use um endereço difícil de adivinhar, com um trecho aleatório longo no caminho, e trate esse endereço como segredo.
Trocar o valor
- Gere um novo valor.
- Configure o seu sistema para aceitar o valor novo.
- Edite o webhook e troque o campo Authorization header.
- Depois de confirmar que os envios chegam, remova o valor antigo do seu sistema.
Troque sempre que alguém com acesso ao valor deixar a equipe.
Erros comuns
"Meu sistema responde 401 ou 403"
O valor do cabeçalho não bate. Confira espaços no começo e no fim e se o destino espera o prefixo Bearer.
"Campo proxy URL é obrigatório"
Com Usuário e senha selecionado, a URL de autenticação, o usuário e a senha são obrigatórios.
"Procurei o campo de chave secreta e não achei"
Ele não existe. A autenticação é feita pelo cabeçalho Authorization.