Autorización

Cada cuenta Alocis tiene un token de webhook (prefijo whtok_). Es el mismo para todos los destinos y va en el JSON de cada entrega, en el campo token.

Dónde ver el token

En el panel, Complementos → Webhook, puedes copiar el token de la cuenta.

1. Al crear el primer destino, el token puede mostrarse para copiar.
2. Después, usa regenerar si necesitas rotar — guárdalo en un lugar seguro (variable de entorno, gestor de secretos), nunca en el front-end público.

Regenerar el token

Al generar uno nuevo, el anterior deja de valer para todos los destinos de la cuenta. Actualiza tu integración antes de rotar en producción.

Cómo validar en la práctica

Lee el JSON del cuerpo, toma el campo token y compáralo con el valor del panel. Debe coincidir exactamente (por ejemplo, con === en JavaScript).

1. Solo procesa el evento si el token coincide.
2. Si falta o no coincide, responde con error (p. ej. 401) y no ejecutes acciones sensibles.
3. No registres el token completo en logs o monitoreo.

function verifyAlocisWebhook(rawBody, expectedToken) {
  let payload;
  try {
    payload = JSON.parse(rawBody);
  } catch {
    return false;
  }
  if (!payload?.token || typeof payload.token !== 'string') return false;
  return payload.token === expectedToken;
}

El historial de entregas en el panel enmascara el token en el cuerpo guardado.