Webhooks simulados

​

Como funciona

• Mesma estrutura de payload — veja o contrato completo
• Mesmos headers (x-event-id, X-NTXPay-Signature)
• Mesma política de retry (5 tentativas, backoff exponencial, timeout 10s)
• Mesmo formato de assinatura HMAC

​

Duas formas de disparar um webhook

​

1. Webhook de teste (sem transação)

curl -X POST https://sandbox.mx.ntxpay.com/api/webhooks-config/test \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "eventType": "cash_in",
    "status": "LIQUIDATED"
  }'

​

2. Transação simulada (fluxo completo)

​

Testar dedupe

1. Configure seu handler para retornar 500 na primeira tentativa.
2. O NTX Pay vai entregar a mesma mensagem novamente (com o mesmo x-event-id).
3. Confirme que seu sistema ignora a duplicata e responde 200 na segunda tentativa.

​

Testar a assinatura

import hmac
import hashlib

def verify(payload_bytes: bytes, signature_header: str, secret: str) -> bool:
    expected = "sha256=" + hmac.new(
        secret.encode(),
        payload_bytes,
        hashlib.sha256,
    ).hexdigest()
    return hmac.compare_digest(expected, signature_header)

​

Boas práticas

1. Valide a assinatura — sempre, mesmo em sandbox.
2. Use x-event-id para dedupe — o mesmo evento pode ser reentregue.
3. Não dependa da ordem — webhooks podem chegar fora de ordem após retries.
4. Exercite os quatro status antes de ir para produção — o sandbox existe para isso.