O segredo de assinatura do "Chamar webhook" (sem o valor)

GET/api/vault/signing-secret

Auth: Token erforderlich
Wer darf:: owner; admin; moderator; finance
API-Schlüssel:: Kein API-Schlüssel möglich
X-CommunityId: X-CommunityId Sende die X-CommunityId der Community, in der die Operation stattfindet.

Die Beschreibungen der Endpoints stammen aus der API-Spezifikation und sind vorerst auf Portugiesisch. Die Oberfläche drumherum ist übersetzt.

Só owner e admin (moderador, financeiro e membro: 403). Diz se a comunidade tem o segredo que assina as chamadas do nó "Chamar webhook" dos workflows, e desde quando (`configuredAt`), com `masked` e `last4`. **O valor nunca volta por aqui**: só na resposta do `POST` que o gerou ou trocou.

Com o segredo, toda chamada do nó sai com `X-Memberfy-Signature: t=<unix>,v1=<hex>`, onde `v1 = HMAC-SHA256(segredo, "<t>." + corpo cru)` sobre os bytes exatamente enviados (corpo vazio assina `"<t>."`), e `X-Memberfy-Timestamp: <unix>`. É o mesmo formato que o gatilho "Webhook recebido" confere na entrada. Quem recebe recalcula, compara em tempo constante e recusa `t` com mais de 5 minutos de diferença. Sem segredo, as chamadas saem sem esses cabeçalhos, como antes. O histórico da execução diz só `signed: true|false`.

Header

Name	Typ	Beschreibung
`X-CommunityId`optional	`string (uuid)`	ID da comunidade em que a operação acontece. Obrigatório na maioria dos endpoints com escopo de comunidade.

Antworten

Status	Beschreibung
`200`	O estado.
`401`	Token ausente, inválido ou expirado; token de outra comunidade (o `X-CommunityId` ou o `communityId` do corpo não é o do token); token antigo ou de uma sessão encerrada (troca de senha, convite aceito). Nesses casos a mensagem pede para entrar de novo (`auth.signInAgain`).
`403`	Autenticado, mas sem permissão para esta operação.

curl-Beispiel

curl -X GET "https://api.memberfy.net/api/vault/signing-secret" \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-CommunityId: $COMMUNITY_ID"