Autorização

Cada conta Alocis tem um token de webhook (prefixo whtok_). Ele é o mesmo para todos os destinos da conta e vai dentro do JSON em cada entrega, no campo token.

Onde ver o token

No painel, em Complementos → Webhook, você encontra o token da conta para copiar.

1. Na primeira vez que você cria um destino, o token já pode ser exibido para cópia.
2. Depois, use a opção de regenerar token se precisar rotacionar o valor — guarde em local seguro (variável de ambiente, cofre de senhas), nunca no front-end público.

Regenerar o token

Ao gerar um token novo, o anterior deixa de valer para todos os destinos da conta. Atualize o valor na sua integração antes de regenerar em produção, ou suas validações vão falhar até você colar o novo token.

Como validar na prática

Leia o corpo JSON da requisição, pegue o campo token e compare com o valor que você copiou do painel. A comparação deve ser exata (por exemplo, com === em JavaScript).

1. Só aceite e processe o evento se o token bater.
2. Se o token estiver ausente ou diferente, responda com erro (por exemplo 401) e não execute ações sensíveis (liberar curso, emitir nota, etc.).
3. Não registre o token completo em logs ou ferramentas de monitoramento.

function verifyAlocisWebhook(rawBody, expectedToken) {
  let payload;
  try {
    payload = JSON.parse(rawBody);
  } catch {
    return false;
  }
  if (!payload?.token || typeof payload.token !== 'string') return false;
  return payload.token === expectedToken;
}

O histórico de entregas no painel mascara o token no corpo salvo — isso protege quem consulta logs compartilhados.