Cadastre um endpoint HTTPS público
Cadastre seu destino em POST /webhook-endpoints e escolha os eventos. Guarde o segredo retornado, exibido uma única vez. Ele serve para conferir as mensagens e é diferente da chave de API.
Valide antes de confiar
O cabeçalho x-pagueo-signature carrega o timestamp e o HMAC-SHA256. A assinatura é calculada sobre o timestamp, um ponto e o corpo HTTP cru. Transformar o JSON e depois serializar pode mudar os bytes e invalidar a conferência.
Rejeite timestamps fora da tolerância e use comparação em tempo constante. Não trate o nome do evento como prova suficiente de que o pagamento é legítimo.
Grave antes de responder
Registre o evento de forma durável antes do 2xx. Use unicidade para o identificador do evento. Uma reentrega do mesmo evento deve ser reconhecida sem efetuar outra baixa no pedido.
Observe as tentativas
Consulte o histórico de entregas para ver resultado e erros. As esperas são aplicadas entre falhas, não como horários absolutos. Uma entrega que esgotou as tentativas pode exigir reenvio manual após corrigir o destino.
Confira os campos e regras atuais antes de integrar. Seu cliente sempre paga a cobrança por Pix.
Abrir documentação ↗