Todo webhook leva o header x-alktea-signature com o HMAC-SHA256 do corpo. Confira antes de confiar no aviso.

// Node.js
const assinatura = crypto
  .createHmac('sha256', SEGREDO)
  .update(corpoBruto)
  .digest('hex');

if (assinatura !== req.headers['x-alktea-signature']) {
  return res.sendStatus(401);
}