Por qué un webhook
Consultar la API funciona, pero un webhook entrega cada SMS en segundos sin que tu código tenga que preguntar una y otra vez.
Configúralo
Abre la página Clave API, introduce una dirección HTTPS en un dominio público y guarda. El secreto de firma se muestra una sola vez: guárdalo junto con los demás secretos de tu servidor.
Qué recibes
Un POST con un cuerpo JSON: el evento sms.received y data con el id del alquiler, el número de teléfono, el remitente, el texto completo, el código detectado y la hora de recepción.
Verifica cada solicitud
Lee el encabezado X-PortSMS-Signature, calcula el HMAC-SHA256 de "t.body" con tu secreto y compáralo con v1 en tiempo constante. Rechaza las solicitudes cuyo t tenga más de 5 minutos.
Responde rápido
Responde con un estado 2xx en cuanto hayas guardado el mensaje y haz el trabajo lento después. Cualquier otra respuesta se reintenta hasta 8 veces.