Webhooks

{
  "id": "a3c5e7f9-1b2d-4e6f-8a0c-2d4f6b8d0e1a",
  "tipo": "proposta.aprovada",
  "modo": "producao",
  "criado_em": "2026-10-29T14:32:07.512Z",
  "dados": { ... }
}

{
  "codigo": "SL-0007",
  "recebida_em": "2026-10-29T14:30:55.104Z",
  "nome": "Policarpo Quaresma",
  "empresa": "Sítio do Sossego Ltda.",
  "telefone": "(21) 90000-1234",
  "email": null,
  "documento": null,
  "endereco": "Estrada do Sossego, 1910, Rio de Janeiro - RJ",
  "tipo_obra": "Residencial unifamiliar",
  "area_m2": 860.5,
  "pavimentos": 2,
  "servicos": ["spt", "trado"],
  "prazo": "Até dezembro",
  "mensagem": "Terreno em aclive, com acesso por estrada de terra.",
  "anexos": [{ "nome": "planta-baixa.pdf", "tamanho": 482113 }],
  "origem": {
    "dominio": "www.sondagens-exemplo.com.br",
    "pagina": "/orcamento",
    "campanha": "google / cpc"
  }
}

{
  "codigo": "PR-0042",
  "titulo": "SPT – Construtora Quincas Borba",
  "cliente": "Construtora Quincas Borba",
  "status": "aprovada",
  "valor_total": 1840000,
  "link": "https://lafra.app/p/5f2d8c1e-7a44-4b9e-8e0d-3c6b1a9f2e77",
  "quando": "2026-10-29T14:32:07.498Z",
  "aceite": { "nome": "Brás Cubas", "cargo": "Diretor de obras" }
}

POST /webhooks/lafra HTTP/1.1
Content-Type: application/json
User-Agent: Lafra-Webhook/1.0
Lafra-Evento: proposta.aprovada
Lafra-Entrega: a3c5e7f9-1b2d-4e6f-8a0c-2d4f6b8d0e1a
Lafra-Assinatura: t=1793284327,v1=5d41b3c8e0f2...

import crypto from "node:crypto";
import express from "express";

const app = express();
// O segredo inteiro, com o "whsec_", numa variável de ambiente.
const SEGREDO = process.env.LAFRA_WEBHOOK_SEGREDO;

// express.raw: a assinatura é do corpo exato, antes de virar objeto.
app.post("/webhooks/lafra", express.raw({ type: "application/json" }), (req, res) => {
  const corpo = req.body.toString("utf8");
  if (!assinaturaValida(req.get("Lafra-Assinatura"), corpo)) {
    return res.sendStatus(400);
  }
  const evento = JSON.parse(corpo);
  // Use evento.id para não tratar o mesmo envio duas vezes.
  console.log(evento.tipo, evento.dados);
  res.sendStatus(200);
});

function assinaturaValida(cabecalho, corpo) {
  const m = /^t=(\d+),v1=([0-9a-f]{64})$/.exec(cabecalho ?? "");
  if (!m) return false;
  const t = Number(m[1]);
  // Recusa assinaturas com mais de 5 minutos (para os dois lados).
  if (Math.abs(Math.floor(Date.now() / 1000) - t) > 300) return false;
  const esperado = crypto
    .createHmac("sha256", SEGREDO)
    .update(`${t}.${corpo}`, "utf8")
    .digest();
  const recebido = Buffer.from(m[2], "hex");
  return (
    recebido.length === esperado.length &&
    crypto.timingSafeEqual(esperado, recebido)
  );
}

app.listen(3000);

import hashlib
import hmac
import json
import os
import re
import time

from flask import Flask, abort, request

app = Flask(__name__)
# O segredo inteiro, com o "whsec_", numa variável de ambiente.
SEGREDO = os.environ["LAFRA_WEBHOOK_SEGREDO"].encode()


def assinatura_valida(cabecalho: str | None, corpo: bytes) -> bool:
    m = re.fullmatch(r"t=(\d+),v1=([0-9a-f]{64})", cabecalho or "")
    if not m:
        return False
    t = int(m.group(1))
    # Recusa assinaturas com mais de 5 minutos (para os dois lados).
    if abs(int(time.time()) - t) > 300:
        return False
    esperado = hmac.new(SEGREDO, f"{t}.".encode() + corpo, hashlib.sha256).hexdigest()
    # compare_digest: comparação em tempo constante.
    return hmac.compare_digest(esperado, m.group(2))


@app.post("/webhooks/lafra")
def webhook_da_lafra():
    corpo = request.get_data()  # o corpo exato, em bytes
    if not assinatura_valida(request.headers.get("Lafra-Assinatura"), corpo):
        abort(400)
    evento = json.loads(corpo)
    # Use evento["id"] para não tratar o mesmo envio duas vezes.
    print(evento["tipo"], evento["dados"])
    return "", 200