Webhooks simulados

​

Cómo funciona

• Misma estructura de payload — consulta el contrato completo
• Mismos headers (x-event-id, X-NTXPay-Signature)
• Misma política de retry (5 intentos, backoff exponencial, timeout 10s)
• Mismo formato de firma HMAC

​

Dos formas de disparar un webhook

​

1. Webhook de prueba (sin transacción)

curl -X POST https://sandbox.mx.ntxpay.com/api/webhooks-config/test \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "eventType": "cash_in",
    "status": "LIQUIDATED"
  }'

​

2. Transacción simulada (flujo completo)

​

Probar el dedupe

1. Configura tu handler para devolver 500 en el primer intento.
2. NTX Pay entregará el mismo mensaje de nuevo (con el mismo x-event-id).
3. Confirma que tu sistema ignora el duplicado y responde 200 en el segundo intento.

​

Probar la firma

import hmac
import hashlib

def verify(payload_bytes: bytes, signature_header: str, secret: str) -> bool:
    expected = "sha256=" + hmac.new(
        secret.encode(),
        payload_bytes,
        hashlib.sha256,
    ).hexdigest()
    return hmac.compare_digest(expected, signature_header)

​

Buenas prácticas

1. Valida la firma — siempre, incluso en sandbox.
2. Usa x-event-id para el dedupe — el mismo evento puede reentregarse.
3. No dependas del orden — los webhooks pueden llegar fuera de orden después de retries.
4. Ejercita los cuatro status antes de ir a producción — el sandbox existe para eso.