Webhook signature tester

Calcula HMAC-SHA256 do body com seu signing_secret para você comparar com o que sua implementação calcula. Use para debugar se sua validação está rejeitando eventos legítimos do Tokia.

signing_secret (do /dashboard/webhooks)tokia-signature-sha-256 (header recebido)

(preencha secret + body)

raw body (JSON do POST recebido)

Como usar: cola o signing_secret da sua webhook + o body que seu app recebeu. Calcula a signature esperada. Compara com o que seu código calcula, se diferentes, há bug na sua impl (geralmente: re-parse de JSON perdendo whitespace, encoding wrong, ou usando o secret errado).

Algoritmo

signature = HMAC_SHA256(signing_secret, raw_body)
          = hex(...)

Header HTTP: tokia-signature-sha-256: {hex}

IMPORTANTE: use raw_body exato (bytes da request, sem parse/re-stringify). Use o raw body pre-parser do seu framework (ex: express.raw()). JSON.stringify(req.body) NÃO funciona, perde ordem de chaves.