Configuração via API

O originator pode criar, consultar, atualizar e remover sua assinatura de webhook via API REST, usando o token JWT de origem.

Base path: POST|GET|PUT|DELETE /api/v1/originator/webhooks

Cada originator possui no máximo uma subscription (relação 1:1). O authValue não é retornado nas respostas por segurança.

---

Criar subscription (POST)

Cria a configuração de webhook para o originator autenticado.

POST /api/v1/originator/webhooks
Authorization: Bearer <seu-jwt>
Content-Type: application/json

{
  "webhookUrls": ["https://api.parceiro.com/webhooks/gtpayroll"],
  "authKey": "X-Webhook-Secret",
  "authValue": "seu-token-secreto"
}

Respostas: 201 (criado), 400 (dados inválidos), 409 (já existe subscription).

---

Consultar subscription (GET)

Retorna a configuração atual do webhook.

GET /api/v1/originator/webhooks
Authorization: Bearer <seu-jwt>

Exemplo de resposta (200):

{
  "id": 1,
  "webhookUrls": ["https://api.parceiro.com/webhooks/gtpayroll"],
  "authKey": "X-Webhook-Secret",
  "active": true,
  "createdDate": "2025-03-01T10:00:00",
  "lastModifiedDate": "2025-03-05T14:30:00"
}

O campo authValue não é retornado. Use authKey para saber qual header sua aplicação deve validar.

Respostas: 200 (OK), 404 (subscription não encontrada).

---

Atualizar subscription (PUT)

Atualiza URLs, header de autenticação e flag ativo.

PUT /api/v1/originator/webhooks
Authorization: Bearer <seu-jwt>
Content-Type: application/json

{
  "webhookUrls": ["https://api.parceiro.com/webhooks/gtpayroll/v2"],
  "authKey": "Authorization",
  "authValue": "Bearer novo-token",
  "active": true
}

Respostas: 200 (atualizado), 400 (dados inválidos), 404 (subscription não encontrada).

---

Remover subscription (DELETE)

Remove a assinatura. O envio de eventos para as URLs cessa.

DELETE /api/v1/originator/webhooks
Authorization: Bearer <seu-jwt>

Respostas: 204 (removido), 404 (subscription não encontrada).

---

authKey e authValue

Campo	Descrição
authKey	Nome do header HTTP que o GTPayroll envia em cada POST para as suas URLs (ex: X-Webhook-Secret, Authorization).
authValue	Valor desse header. Configurado por você e enviado em todas as chamadas de webhook. Não é retornado em GET.

Valide sempre o header no seu endpoint antes de processar o payload.