Webhooks seguros no n8n: Header Auth, Basic Auth, HMAC e resposta imediata

1. Arquitetura e pré-requisitos no ambiente

Qualquer URL de webhook público na internet pode receber requisições maliciosas ou repetidas. Além de HTTPS obrigatório, validar cabeçalhos de autenticação e responder rápido evita reenvios em cascata.

• URL configurada com HTTPS válido em WEBHOOK_URL=https://seu-n8n.seudominio.com/.
• Segredo compartilhado (Header Auth ou HMAC Secret) entre o sistema emissor e o n8n.

2. Passo a passo de implementação e validação

1. No nó Webhook, altere Authentication de None para Header Auth (ex: X-Webhook-Secret) ou JWT Auth.
2. Quando o provedor enviar assinatura HMAC (como Stripe ou Meta), ative Raw Body nas opções do nó Webhook e valide o hash SHA-256 em um nó Crypto.
3. Configure Respond como Immediately (ou use o nó Respond to Webhook logo após a validação) antes de chamar modelos de IA lentos.
4. Teste com curl -X POST enviando um token inválido e confirme o retorno 403 Forbidden.

3. Boas práticas de produção, segurança e escala

Responder ao webhook em menos de 500ms evita que plataformas como WhatsApp, Stripe ou Hotmart interpretem seu servidor como fora do ar e reenviem o evento dezenas de vezes.

• Use uma chave de idempotência no Redis para ignorar eventos duplicados (mesmo event_id).
• Nunca exponha dados internos do banco no corpo de resposta do webhook.