Vercel: como funciona a entrega de webhooks

Comportamento de entrega

Lido na documentação do próprio provedor, verificado pela última vez em 2026-08-06. Onde o provedor não informa um número, esta tabela também não traz nenhum.

Assinatura

Verificada com um verificador funcional, comprovado por uma suíte de testes, e não lida na documentação. Última verificação em 2026-08-20.

Verifique a assinatura

O corpo bruto da requisição, byte a byte, antes de qualquer parsing de JSON. Todos os esquemas desta página quebram no momento em que um framework serializa o payload de novo.

const crypto = require("node:crypto");

// hex(HMAC-SHA1(webhook secret, raw body))
const expected = crypto
  .createHmac("sha1", webhookSecret) // Team Settings → Webhooks, shown once
  .update(rawBody)
  .digest("hex");
const received = Buffer.from(req.headers["x-vercel-signature"] ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

Armadilhas

Leia também

• Como receber webhooks na Vercel sem perdê-los
• Como verificar assinaturas de webhook em vários provedores
• A tabela com todos os provedores