Registrar un webhook de autorización

Cuando un comprobante llega a estado terminal (authorized/rejected) —típicamente por el path asíncrono de contingencia/retry— Cobra hace POST a esta url. El cuerpo va firmado: header X-Cobra-Signature: sha256=<hex> = HMAC-SHA256(secret, ${X-Cobra-Timestamp}.${body}). El secret se devuelve UNA sola vez al registrar. Evento: { event, document_id, tipo_comprobante, numero, clave_acceso, estado, numero_autorizacion, timestamp }.