Webhooks

curl -X POST https://pruebas.sistemafacturacionperu.com/api/v1/webhooks \
  -H "Authorization: Bearer $SFP_API_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: webhook-mi-sistema" \
  -d '{"url": "https://mi-sistema.pe/avisos-sfp", "eventos": ["comprobante.aceptado", "comprobante.rechazado"]}'

<?php
$ch = curl_init('https://pruebas.sistemafacturacionperu.com/api/v1/webhooks');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_HTTPHEADER => [
        'Authorization: Bearer ' . getenv('SFP_API_KEY'),
        'Content-Type: application/json',
        'Idempotency-Key: webhook-mi-sistema',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'url' => 'https://mi-sistema.pe/avisos-sfp',
        'eventos' => ['comprobante.aceptado', 'comprobante.rechazado'],
    ]),
]);
$webhook = json_decode(curl_exec($ch), true)['data'];
// Guarda $webhook['secreto'] (whsec_…) en tu servidor: no se vuelve a mostrar.

const res = await fetch('https://pruebas.sistemafacturacionperu.com/api/v1/webhooks', {
  method: 'POST',
  headers: {
    Authorization: `Bearer ${process.env.SFP_API_KEY}`,
    'Content-Type': 'application/json',
    'Idempotency-Key': 'webhook-mi-sistema',
  },
  body: JSON.stringify({ url: 'https://mi-sistema.pe/avisos-sfp', eventos: ['comprobante.aceptado', 'comprobante.rechazado'] }),
});
const { data: webhook } = await res.json();
// Guarda webhook.secreto (whsec_…) en tu servidor: no se vuelve a mostrar.

r = requests.post(
    "https://pruebas.sistemafacturacionperu.com/api/v1/webhooks",
    json={"url": "https://mi-sistema.pe/avisos-sfp", "eventos": ["comprobante.aceptado", "comprobante.rechazado"]},
    headers={"Authorization": f"Bearer {os.environ['SFP_API_KEY']}", "Idempotency-Key": "webhook-mi-sistema"},
    timeout=30,
)
webhook = r.json()["data"]  # guarda webhook["secreto"] (whsec_…): no se vuelve a mostrar

<?php
// PHP puro (o dentro de tu controlador de Laravel/Symfony con el cuerpo crudo).
$cuerpo = file_get_contents('php://input');
$cabecera = $_SERVER['HTTP_X_SFP_SIGNATURE'] ?? '';
parse_str(str_replace(',', '&', $cabecera), $partes);   // ['t' => '…', 'v1' => '…']

$esperada = hash_hmac('sha256', ($partes['t'] ?? '') . '.' . $cuerpo, getenv('SFP_WEBHOOK_SECRET'));
if (!hash_equals($esperada, $partes['v1'] ?? '') || abs(time() - (int) ($partes['t'] ?? 0)) > 300) {
    http_response_code(400);
    exit;
}

$aviso = json_decode($cuerpo, true);
// Encola el trabajo y responde rápido: $aviso['id'], $aviso['evento'], $aviso['data']['external_id']…
http_response_code(200);

// Node.js con Express: lee el cuerpo crudo solo en esta ruta.
import crypto from 'node:crypto';
import express from 'express';

const app = express();
app.post('/avisos-sfp', express.raw({ type: 'application/json' }), (req, res) => {
  const partes = Object.fromEntries(String(req.get('X-SFP-Signature') || '').split(',').map((p) => p.split('=')));
  const esperada = crypto
    .createHmac('sha256', process.env.SFP_WEBHOOK_SECRET)
    .update(`${partes.t}.`)
    .update(req.body)
    .digest('hex');
  const ok =
    typeof partes.v1 === 'string' &&
    partes.v1.length === esperada.length &&
    crypto.timingSafeEqual(Buffer.from(esperada), Buffer.from(partes.v1)) &&
    Math.abs(Date.now() / 1000 - Number(partes.t)) <= 300;
  if (!ok) return res.sendStatus(400);

  const aviso = JSON.parse(req.body.toString('utf8'));
  // Encola el trabajo y responde rápido: aviso.id, aviso.evento, aviso.data.external_id…
  res.sendStatus(200);
});

# Python con Flask
import hashlib, hmac, json, os, time
from flask import Flask, request, abort

app = Flask(__name__)

@app.post("/avisos-sfp")
def avisos_sfp():
    cuerpo = request.get_data()  # bytes, tal como llegaron
    partes = dict(p.split("=", 1) for p in request.headers.get("X-SFP-Signature", "").split(",") if "=" in p)
    esperada = hmac.new(os.environ["SFP_WEBHOOK_SECRET"].encode(),
                        partes.get("t", "").encode() + b"." + cuerpo, hashlib.sha256).hexdigest()
    if not hmac.compare_digest(esperada, partes.get("v1", "")) or abs(time.time() - int(partes.get("t", 0))) > 300:
        abort(400)

    aviso = json.loads(cuerpo)
    # Encola el trabajo y responde rápido: aviso["id"], aviso["evento"], aviso["data"]["external_id"]…
    return "", 200