O segredo de assinatura do "Chamar webhook" (sem o valor)

GET/api/vault/signing-secret

Auth: Requires a token
Who can call it:: owner; admin; moderator; finance
API key:: No API key accepted
X-CommunityId: X-CommunityId Send the X-CommunityId of the community the operation happens in.

Endpoint descriptions come straight from the API specification and are in Portuguese for now. The interface around them is translated.

Só owner e admin (moderador, financeiro e membro: 403). Diz se a comunidade tem o segredo que assina as chamadas do nó "Chamar webhook" dos workflows, e desde quando (`configuredAt`), com `masked` e `last4`. **O valor nunca volta por aqui**: só na resposta do `POST` que o gerou ou trocou.

Com o segredo, toda chamada do nó sai com `X-Memberfy-Signature: t=<unix>,v1=<hex>`, onde `v1 = HMAC-SHA256(segredo, "<t>." + corpo cru)` sobre os bytes exatamente enviados (corpo vazio assina `"<t>."`), e `X-Memberfy-Timestamp: <unix>`. É o mesmo formato que o gatilho "Webhook recebido" confere na entrada. Quem recebe recalcula, compara em tempo constante e recusa `t` com mais de 5 minutos de diferença. Sem segredo, as chamadas saem sem esses cabeçalhos, como antes. O histórico da execução diz só `signed: true|false`.

Headers

Name	Type	Description
`X-CommunityId`optional	`string (uuid)`	ID da comunidade em que a operação acontece. Obrigatório na maioria dos endpoints com escopo de comunidade.

Responses

Status	Description
`200`	O estado.
`401`	Token ausente, inválido ou expirado; token de outra comunidade (o `X-CommunityId` ou o `communityId` do corpo não é o do token); token antigo ou de uma sessão encerrada (troca de senha, convite aceito). Nesses casos a mensagem pede para entrar de novo (`auth.signInAgain`).
`403`	Autenticado, mas sem permissão para esta operação.

curl example

curl -X GET "https://api.memberfy.net/api/vault/signing-secret" \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-CommunityId: $COMMUNITY_ID"