Di 🪝 Webhook → Atur URL, simpan HTTPS dan secret terpisah. Setiap POST memuat GramPay-Event, GramPay-Delivery-ID, GramPay-Timestamp, GramPay-Signature. Hitung sha256=HMAC_SHA256(raw_body, secret) sebelum parsing dan bandingkan constant-time.
Tes mengirim webhook_test tanpa tanda tangan, tanda tangan salah, lalu benar. Yang benar wajib 2xx dalam 5 detik; redirect tidak diikuti dan tes tidak diulang. Event nyata dicoba sampai 17 kali selama ~4 hari lalu endpoint dinonaktifkan. Simpan cepat, jawab 2xx, proses idempoten, dan deduplikasi Delivery ID.