En 🪝 Webhooks → Configurar URL, guarda un HTTPS y el secret separado. Cada POST incluye GramPay-Event, GramPay-Delivery-ID, GramPay-Timestamp, GramPay-Signature. Calcula sha256=HMAC_SHA256(raw_body, secret) antes de parsear y compara en tiempo constante.
La prueba envía webhook_test sin firma, con firma mala y buena. La buena debe dar 2xx en 5 s; no sigue redirects ni reintenta. Eventos reales reintentan 17 veces durante ~4 días y luego desactivan endpoint. Persiste rápido, responde 2xx, procesa idempotente y deduplica por Delivery ID.