Intercom: como funciona a entrega de webhooks

Comportamento de entrega

Lido na documentação do próprio provedor, verificado pela última vez em 2026-08-06. Onde o provedor não informa um número, esta tabela também não traz nenhum.

Assinatura

Verificada com um verificador funcional, comprovado por uma suíte de testes, e não lida na documentação. Última verificação em 2026-08-20.

Verifique a assinatura

O corpo bruto da requisição, byte a byte, antes de qualquer parsing de JSON. Todos os esquemas desta página quebram no momento em que um framework serializa o payload de novo.

const crypto = require("node:crypto");

// x-hub-signature: "sha1=" + hex(HMAC-SHA1(client secret, raw body))
const expected =
  "sha1=" +
  crypto.createHmac("sha1", clientSecret).update(rawBody).digest("hex");
const received = Buffer.from(req.headers["x-hub-signature"] ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

Armadilhas

Leia também

• Como verificar assinaturas de webhook em vários provedores
• A tabela com todos os provedores