Webhooks: receber o aviso de conclusão e validar a assinatura

curl -X POST "https://convertaja.com.br/v1/tools/xml-nfe-para-pdf" \
  -H "Authorization: Bearer $CONVERTAJA_KEY" \
  -F "files=@nota.xml" \
  -F "webhook_url=https://seusite.com.br/webhooks/convertaja"

import { openAsBlob } from 'node:fs';

const form = new FormData();
form.append('files', await openAsBlob('nota.xml'), 'nota.xml');
form.append('webhook_url', 'https://seusite.com.br/webhooks/convertaja');

const res = await fetch('https://convertaja.com.br/v1/tools/xml-nfe-para-pdf', {
  method: 'POST',
  headers: { Authorization: `Bearer ${process.env.CONVERTAJA_KEY}` },
  body: form,
});
const job = await res.json();
console.log(res.status, job.id); // guarde o id: ele chega de volta em evento.data.id

import os
import requests

with open("nota.xml", "rb") as f:
    res = requests.post(
        "https://convertaja.com.br/v1/tools/xml-nfe-para-pdf",
        headers={"Authorization": f"Bearer {os.environ['CONVERTAJA_KEY']}"},
        files=[("files", ("nota.xml", f, "application/xml"))],
        data={"webhook_url": "https://seusite.com.br/webhooks/convertaja"},
        timeout=120,
    )
job = res.json()
print(res.status_code, job["id"])  # guarde o id: ele chega de volta em evento["data"]["id"]

<?php
$ch = curl_init('https://convertaja.com.br/v1/tools/xml-nfe-para-pdf');
curl_setopt_array($ch, [
  CURLOPT_POST => true,
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_HTTPHEADER => ['Authorization: Bearer ' . getenv('CONVERTAJA_KEY')],
  CURLOPT_POSTFIELDS => [
    'files' => new CURLFile('nota.xml', 'application/xml'),
    'webhook_url' => 'https://seusite.com.br/webhooks/convertaja',
  ],
]);
$job = json_decode(curl_exec($ch), true);
echo "{$job['id']}\n"; // guarde o id: ele chega de volta em $evento['data']['id']

// webhook.mjs: recebe os avisos do Convertajá (npm install express; node webhook.mjs)
import crypto from 'node:crypto';
import express from 'express';

const SEGREDO = process.env.CONVERTAJA_WEBHOOK_SECRET; // whsec_…, em Minha conta → API
const vistos = new Set(); // em produção, guarde o id do evento no banco (chave única)

function assinaturaValida(corpoCru, cabecalho, segredo, toleranciaSeg = 300) {
  const partes = Object.fromEntries(String(cabecalho || '').split(',').map((p) => p.split('=')));
  const t = Number(partes.t);
  if (!t || !partes.v1 || Math.abs(Date.now() / 1000 - t) > toleranciaSeg) return false;
  const esperado = crypto.createHmac('sha256', segredo).update(`${t}.${corpoCru}`).digest('hex');
  const a = Buffer.from(esperado);
  const b = Buffer.from(String(partes.v1));
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

const app = express();

// express.raw: a assinatura é calculada sobre o corpo exatamente como chegou
app.post('/webhooks/convertaja', express.raw({ type: 'application/json' }), (req, res) => {
  const corpo = req.body.toString('utf8');
  if (!assinaturaValida(corpo, req.get('X-Convertaja-Signature'), SEGREDO)) return res.sendStatus(400);

  const evento = JSON.parse(corpo);
  res.sendStatus(200); // responda em até 10 s; o trabalho pesado vem depois
  if (vistos.has(evento.id)) return; // reenvio de um evento que já tratamos
  vistos.add(evento.id);
  processar(evento).catch(console.error);
});

async function processar(evento) {
  if (evento.type === 'job.completed') {
    for (const out of evento.data.outputs) console.log('Pronto:', out.name, out.url);
  } else if (evento.type === 'job.failed') {
    console.log('Falhou:', evento.data.id, evento.data.error.message);
  } else if (evento.type.startsWith('esign.envelope.')) {
    console.log('Envelope', evento.data.id, '→', evento.data.status);
  }
}

app.listen(8080, () => console.log('Esperando avisos em http://localhost:8080/webhooks/convertaja'));

# webhook.py: recebe os avisos do Convertajá (pip install flask; python webhook.py)
import hashlib
import hmac
import os
import time

from flask import Flask, abort, request

SEGREDO = os.environ["CONVERTAJA_WEBHOOK_SECRET"]  # whsec_…, em Minha conta → API
vistos = set()  # em produção, guarde o id do evento no banco (chave única)


def assinatura_valida(corpo_cru: bytes, cabecalho: str, segredo: str, tolerancia: int = 300) -> bool:
    try:
        partes = dict(p.split("=", 1) for p in (cabecalho or "").split(","))
        t = int(partes.get("t", "0"))
    except ValueError:
        return False
    if not t or not partes.get("v1") or abs(time.time() - t) > tolerancia:
        return False
    esperado = hmac.new(segredo.encode(), f"{t}.".encode() + corpo_cru, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperado, partes["v1"])


app = Flask(__name__)


@app.post("/webhooks/convertaja")
def webhook():
    corpo = request.get_data()  # bytes, exatamente como chegaram
    if not assinatura_valida(corpo, request.headers.get("X-Convertaja-Signature", ""), SEGREDO):
        abort(400)

    evento = request.get_json()
    if evento["id"] in vistos:
        return "", 200  # reenvio de um evento que já tratamos
    vistos.add(evento["id"])

    if evento["type"] == "job.completed":
        for out in evento["data"]["outputs"]:
            print("Pronto:", out["name"], out["url"])
    elif evento["type"] == "job.failed":
        print("Falhou:", evento["data"]["id"], evento["data"]["error"]["message"])
    elif evento["type"].startswith("esign.envelope."):
        print("Envelope", evento["data"]["id"], "->", evento["data"]["status"])
    return "", 200  # responda em até 10 s


if __name__ == "__main__":
    app.run(port=8080)

<?php
// webhook.php: recebe os avisos do Convertajá (publique em https://seusite.com.br/webhooks/convertaja)
function assinatura_valida(string $corpoCru, string $cabecalho, string $segredo, int $tolerancia = 300): bool {
  $partes = [];
  foreach (explode(',', $cabecalho) as $par) {
    [$chave, $valor] = array_pad(explode('=', $par, 2), 2, '');
    $partes[$chave] = $valor;
  }
  $t = (int) ($partes['t'] ?? 0);
  if (!$t || empty($partes['v1']) || abs(time() - $t) > $tolerancia) return false;
  $esperado = hash_hmac('sha256', $t . '.' . $corpoCru, $segredo);
  return hash_equals($esperado, $partes['v1']);
}

$segredo = getenv('CONVERTAJA_WEBHOOK_SECRET'); // whsec_…, em Minha conta → API
$corpo = file_get_contents('php://input');      // corpo cru, antes do json_decode
if (!assinatura_valida($corpo, $_SERVER['HTTP_X_CONVERTAJA_SIGNATURE'] ?? '', $segredo)) {
  http_response_code(400);
  exit;
}

$evento = json_decode($corpo, true);
// Reenvios trazem o mesmo $evento['id']: grave-o numa coluna única e ignore se já existir.
switch ($evento['type']) {
  case 'job.completed':
    foreach ($evento['data']['outputs'] as $out) error_log("Pronto: {$out['name']} {$out['url']}");
    break;
  case 'job.failed':
    error_log("Falhou: {$evento['data']['id']} {$evento['data']['error']['message']}");
    break;
  default: // esign.envelope.completed | refused | expired | canceled
    error_log("Envelope {$evento['data']['id']}: {$evento['data']['status']}");
}
http_response_code(200); // responda em até 10 s

# Assina um evento de teste como o Convertajá faria e envia para o seu servidor local
CORPO='{"id":"evt_teste_local","type":"job.completed","created_at":"2026-10-16T20:26:06.404Z","data":{"id":"teste","status":"done","outputs":[]}}'
T=$(date +%s)
V1=$(printf '%s' "$T.$CORPO" | openssl dgst -sha256 -hmac "$CONVERTAJA_WEBHOOK_SECRET" | sed 's/^.* //')

curl -i -X POST "http://localhost:8080/webhooks/convertaja" \
  -H "Content-Type: application/json" \
  -H "X-Convertaja-Signature: t=$T,v1=$V1" \
  -H "X-Convertaja-Event: job.completed" \
  --data-raw "$CORPO"

// simular-webhook.mjs: assina um evento de teste como o Convertajá faria e envia para o seu servidor local
import crypto from 'node:crypto';

const corpo = JSON.stringify({
  id: 'evt_teste_local', type: 'job.completed', created_at: new Date().toISOString(),
  data: { id: 'teste', status: 'done', outputs: [] },
});
const t = Math.floor(Date.now() / 1000);
const v1 = crypto.createHmac('sha256', process.env.CONVERTAJA_WEBHOOK_SECRET).update(`${t}.${corpo}`).digest('hex');

const res = await fetch('http://localhost:8080/webhooks/convertaja', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json', 'X-Convertaja-Signature': `t=${t},v1=${v1}`, 'X-Convertaja-Event': 'job.completed' },
  body: corpo,
});
console.log(res.status); // 200: assinatura conferida · 400: segredo ou corpo diferentes

# simular_webhook.py: assina um evento de teste como o Convertajá faria e envia para o seu servidor local
import hashlib
import hmac
import json
import os
import time
import requests

corpo = json.dumps({
    "id": "evt_teste_local", "type": "job.completed", "created_at": "2026-10-16T20:26:06.404Z",
    "data": {"id": "teste", "status": "done", "outputs": []},
}).encode()
t = int(time.time())
v1 = hmac.new(os.environ["CONVERTAJA_WEBHOOK_SECRET"].encode(), f"{t}.".encode() + corpo, hashlib.sha256).hexdigest()

res = requests.post(
    "http://localhost:8080/webhooks/convertaja",
    data=corpo,
    headers={"Content-Type": "application/json", "X-Convertaja-Signature": f"t={t},v1={v1}", "X-Convertaja-Event": "job.completed"},
    timeout=10,
)
print(res.status_code)  # 200: assinatura conferida · 400: segredo ou corpo diferentes