Получать события (вебхуки)

curl -X POST "$TUNGO_API/v1/workspaces/$WS/webhooks/endpoints" \
  -H "x-api-key: $TUNGO_KEY" -H "Content-Type: application/json" \
  -d '{"url":"https://example.kz/tungo-events","event_types":["proposal.written"]}'

{
  "id": "evt_…",
  "type": "proposal.written",
  "created_at": "…",
  "workspace_id": "ws_…",
  "company_id": "co_…",
  "data": {}
}

import { createHmac, timingSafeEqual } from 'node:crypto'

// secret — whsec_…; headers — заголовки запроса; rawBody — тело строкой, как пришло, до разбора JSON.
function verifyWebhook(secret, headers, rawBody, nowSec = Date.now() / 1000) {
  const id = headers['webhook-id']
  const ts = headers['webhook-timestamp']
  if (Math.abs(nowSec - Number(ts)) > 300) return false // старше 5 минут: повтор чужого запроса
  const key = Buffer.from(secret.slice('whsec_'.length), 'base64')
  const want = createHmac('sha256', key).update(`${id}.${ts}.${rawBody}`).digest()
  // В заголовке подписи через пробел: v1,<base64>. После смены секрета их две.
  return headers['webhook-signature'].split(' ').some((s) => {
    const got = Buffer.from(s.split(',')[1] ?? '', 'base64')
    return got.length === want.length && timingSafeEqual(got, want)
  })
}