Meta (Instagram, Facebook, Threads): como funciona a entrega de webhooks

Comportamento de entrega

Lido na documentação do próprio provedor, verificado pela última vez em 2026-08-06. Onde o provedor não informa um número, esta tabela também não traz nenhum.

Assinatura

Verificada com um verificador funcional, comprovado por uma suíte de testes, e não lida na documentação. Última verificação em 2026-08-20.

Verifique a assinatura

O corpo bruto da requisição, byte a byte, antes de qualquer parsing de JSON. Todos os esquemas desta página quebram no momento em que um framework serializa o payload de novo.

const crypto = require("node:crypto");

// Same scheme as GitHub: "sha256=" + hex HMAC of the raw body, keyed by the
// app secret.
const expected =
  "sha256=" +
  crypto.createHmac("sha256", appSecret).update(rawBody).digest("hex");
const received = Buffer.from(req.headers["x-hub-signature-256"] ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

Antes de tudo isso, a Meta precisa aceitar a URL de callback: ela envia um GET com hub.mode=subscribe e espera receber hub.challenge de volta, sem alteração. Sem eco, sem inscrição.

Armadilhas

Leia também

• Webhooks do Instagram, do Facebook e do Threads no AnyHook
• Como verificar assinaturas de webhook em vários provedores
• A tabela com todos os provedores