Entrega um evento JSON ao endpoint HTTPS do lojista
POST com Content-Type application/json e envelope {id, type, data}. MuPag-Signature e o alias X-Gateway-Signature trazem t=<epoch>,v1=<hmac>. Também envia X-Gateway-Event-Id e X-Gateway-Timestamp. Sucesso é 200-299. Não há User-Agent e redirecionamento não é seguido. Alvo bloqueado por SSRF produz status interno 0, que não é resposta HTTP, e a entrega é abandonada.
Headers
HMAC-SHA256 (HmacSHA256) de <timestamp>.<corpo cru> com o segredo UTF-8 whsec_. Formato t=<segundos>,v1=<64 hex minúsculos>. Máximo de 512 caracteres.
Alias temporário com o mesmo valor de MuPag-Signature.
Identificador do evento, igual ao campo id do corpo.
Epoch em segundos usado no payload assinado.
Payload
Response
Qualquer status 200-299 encerra a entrega.
Changes
Webhooks have no change history: a webhook is keyed by its event name rather than a path and method, so no recorded change can name it.