O segredo de assinatura do "Chamar webhook" (sem o valor)

GET/api/vault/signing-secret

Auth: Requiere token
Quién puede:: owner; admin; moderator; finance
Clave de API:: No acepta clave de API
X-CommunityId: X-CommunityId Envía el X-CommunityId de la comunidad en la que ocurre la operación.

Las descripciones de los endpoints vienen de la especificación de la API y, por ahora, están en portugués. La interfaz alrededor está traducida.

Só owner e admin (moderador, financeiro e membro: 403). Diz se a comunidade tem o segredo que assina as chamadas do nó "Chamar webhook" dos workflows, e desde quando (`configuredAt`), com `masked` e `last4`. **O valor nunca volta por aqui**: só na resposta do `POST` que o gerou ou trocou.

Com o segredo, toda chamada do nó sai com `X-Memberfy-Signature: t=<unix>,v1=<hex>`, onde `v1 = HMAC-SHA256(segredo, "<t>." + corpo cru)` sobre os bytes exatamente enviados (corpo vazio assina `"<t>."`), e `X-Memberfy-Timestamp: <unix>`. É o mesmo formato que o gatilho "Webhook recebido" confere na entrada. Quem recebe recalcula, compara em tempo constante e recusa `t` com mais de 5 minutos de diferença. Sem segredo, as chamadas saem sem esses cabeçalhos, como antes. O histórico da execução diz só `signed: true|false`.

Headers

Nombre	Tipo	Descripción
`X-CommunityId`opcional	`string (uuid)`	ID da comunidade em que a operação acontece. Obrigatório na maioria dos endpoints com escopo de comunidade.

Respuestas

Código	Descripción
`200`	O estado.
`401`	Token ausente, inválido ou expirado; token de outra comunidade (o `X-CommunityId` ou o `communityId` do corpo não é o do token); token antigo ou de uma sessão encerrada (troca de senha, convite aceito). Nesses casos a mensagem pede para entrar de novo (`auth.signInAgain`).
`403`	Autenticado, mas sem permissão para esta operação.

Ejemplo con curl

curl -X GET "https://api.memberfy.net/api/vault/signing-secret" \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-CommunityId: $COMMUNITY_ID"