R320 (audit Lucas Vidal-Hofmann iPaaS, 2026-05-23) — Webhook entrant

R320 (audit Lucas Vidal-Hofmann iPaaS, 2026-05-23) — Webhook entrant Dropbox Sign : reçoit les events signature_request_* et update les statuts des entités métier (Quote, Offer, Candidate, EmployeeContract).

PUBLIC endpoint (pas de JWT) — l'authenticité du payload est vérifiée
via HMAC-SHA256 du body avec le `webhook_secret` (per-org, stocké dans
`Integration.credentials.webhook_secret`).

Convention Dropbox Sign (cf https://developers.hellosign.com/api/reference/callback/) :
- Header `X-Hellosign-Event-Hash` ou champ `event_hash` dans le payload
- Signature = HMAC-SHA256(api_key, event_time + event_type) en hex.

Format payload type :
    {
      "event": {
        "event_type": "signature_request_all_signed",
        "event_time": "1684000000",
        "event_hash": "abc123..."
      },
      "signature_request": {
        "signature_request_id": "sr_xxx",
        ...
      }
    }

Dropbox Sign exige une réponse text/plain `Hello API Event Received`
pour valider l'endpoint. On répond toujours 200 (sauf signature
invalide) sinon Dropbox Sign retry et désactive le hook.