Referencia

Webhooks

Suscribe un endpoint HTTPS en tu panel para recibir los eventos a medida que ocurren. Cada entrega va firmada; las entregas son al menos una vez, así que deduplica por el id del sobre.

Eventos

booking.createdbooking.confirmedbooking.cancelledorder.createdorder.paidorder.status_changedorder.refundedpreorder.invitedpreorder.savedreview.created

Sobre de la carga útil

{
  "id": "evt_1709...",
  "event": "order.paid",
  "createdAt": "2025-12-21T19:45:12.000Z",
  "data": { /* event-specific payload */ }
}

Verificación de firmas

Cada solicitud incluye OAC-Signature: t=<unix-ts>,v1=<hex-hmac>. Calcula el HMAC de {timestamp}.{rawBody} con el secreto de tu endpoint y compara en tiempo constante:

Node.js

import { createHmac, timingSafeEqual } from "crypto";

function verify(rawBody, header, secret) {
  if (!header) return false;
  const parts = Object.fromEntries(header.split(",").map((p) => p.split("=")));
  const ts = parts.t, sig = parts.v1;
  if (!ts || !sig) return false;
  // Reject replays older than 5 minutes.
  if (Math.abs(Date.now() / 1000 - Number(ts)) > 300) return false;
  const expected = createHmac("sha256", secret).update(`${ts}.${rawBody}`).digest("hex");
  return timingSafeEqual(Buffer.from(expected), Buffer.from(sig));
}

Verifica siempre contra el cuerpo sin procesar de la solicitud: volver a serializar el JSON invalida la firma.

Reintentos

Una entrega fallida (error de red o respuesta distinta de 2xx en menos de 10 s) se reintenta con retroceso exponencial: 60s → 5m → 30m → 2h → 12h, y luego se detiene. Cada intento se registra en una fila WebhookDelivery que puedes inspeccionar en tu panel.