Por que um webhook
Consultar a API funciona, mas um webhook entrega cada SMS em segundos, sem que o seu código precise perguntar repetidas vezes.
Configuração
Abra a página Chave de API, informe um endereço HTTPS em um domínio público e salve. O segredo de assinatura é mostrado uma única vez: guarde-o junto com os outros segredos do seu servidor.
O que você recebe
Um POST com corpo JSON: o evento sms.received e data com o id do aluguel, o número de telefone, o remetente, o texto completo, o código detectado e o horário de recebimento.
Verifique cada requisição
Leia o header X-PortSMS-Signature, calcule o HMAC-SHA256 de "t.body" com o seu segredo e compare com v1 em tempo constante. Rejeite requisições cujo t tenha mais de 5 minutos.
Responda rápido
Responda com um status 2xx assim que tiver salvo a mensagem e deixe o trabalho demorado para depois. Qualquer outra resposta gera até 8 novas tentativas.