Оқиғаларды алу (вебхуктар)

curl -X POST "$TUNGO_API/v1/workspaces/$WS/webhooks/endpoints" \
  -H "x-api-key: $TUNGO_KEY" -H "Content-Type: application/json" \
  -d '{"url":"https://example.kz/tungo-events","event_types":["proposal.written"]}'

{
  "id": "evt_…",
  "type": "proposal.written",
  "created_at": "…",
  "workspace_id": "ws_…",
  "company_id": "co_…",
  "data": {}
}

import { createHmac, timingSafeEqual } from 'node:crypto'

// secret — whsec_…; headers — сұраудың тақырыптары; rawBody — дене жол түрінде, келген күйінде, JSON талдауына дейін.
function verifyWebhook(secret, headers, rawBody, nowSec = Date.now() / 1000) {
  const id = headers['webhook-id']
  const ts = headers['webhook-timestamp']
  if (Math.abs(nowSec - Number(ts)) > 300) return false // 5 минуттан ескі: бөгде сұраудың қайталануы
  const key = Buffer.from(secret.slice('whsec_'.length), 'base64')
  const want = createHmac('sha256', key).update(`${id}.${ts}.${rawBody}`).digest()
  // Тақырыпта қолтаңбалар бос орын арқылы: v1,<base64>. Құпия ауысқаннан кейін олар екеу.
  return headers['webhook-signature'].split(' ').some((s) => {
    const got = Buffer.from(s.split(',')[1] ?? '', 'base64')
    return got.length === want.length && timingSafeEqual(got, want)
  })
}