Quickstart para dejar una integracion viva

Ejemplo Node.js + Express

import crypto from 'crypto';
import express from 'express';

const app = express();
const secret = process.env.KAPTURE_WEBHOOK_SECRET;

app.post(
  '/kapture/webhook',
  express.raw({ type: 'application/json' }),
  (req, res) => {
    const signature = req.header('x-kapture-signature');
    const event = req.header('x-kapture-event');
    const rawBody = req.body;

    if (!secret || !signature || !Buffer.isBuffer(rawBody)) {
      return res.status(400).send('invalid request');
    }

    const expected = crypto
      .createHmac('sha256', secret)
      .update(rawBody)
      .digest('hex');

    const [algorithm, digest] = signature.split('=');
    const valid =
      algorithm === 'sha256' &&
      digest &&
      crypto.timingSafeEqual(Buffer.from(digest, 'hex'), Buffer.from(expected, 'hex'));

    if (!valid) {
      return res.status(401).send('invalid signature');
    }

    const payload = JSON.parse(rawBody.toString('utf8'));
    const idempotencyKey = `${payload.event}:${payload.id}`;

    console.log({ event, idempotencyKey, payload });

    return res.status(202).send('accepted');
  }
);

app.listen(3000);

• El receptor usa raw body y valida la firma con tiempo constante.
• El sistema receptor deduplica por `event + id`.
• La respuesta HTTP sale en menos de 5 segundos.
• Existe trazabilidad minima: request ID, event, id, status y timestamp.
• Los eventos activados en `webhookEvents` coinciden con el flujo real esperado.
• La prueba con `webhook.site` o un receptor temporal ya fue exitosa.