<?php
// Receptor de webhooks do Hotel das Lojas: confere a assinatura, ignora repeticoes e grava cada evento num arquivo.
// Coloque num endereco https do seu servidor e defina HDL_WEBHOOK_SEGREDO (aparece ao criar o webhook).
$segredo = getenv('HDL_WEBHOOK_SEGREDO');
$corpo = file_get_contents('php://input');
$ts = $_SERVER['HTTP_X_HDL_TIMESTAMP'] ?? '';
$recebida = str_replace('sha256=', '', $_SERVER['HTTP_X_HDL_ASSINATURA'] ?? '');
$esperada = hash_hmac('sha256', $ts . '.' . $corpo, (string) $segredo);
if (!$segredo || abs(time() - (int) $ts) > 300 || !hash_equals($esperada, $recebida)) { http_response_code(401); exit; }
$evento = json_decode($corpo, true);
$marca = __DIR__ . '/.webhook-' . preg_replace('/[^a-z0-9_]/i', '', $evento['id']);
if (file_exists($marca)) { http_response_code(200); exit; } // ja recebido
touch($marca);
file_put_contents(__DIR__ . '/webhooks.log', date('c') . ' ' . $evento['evento'] . ' ' . json_encode($evento['dados']['id'] ?? null) . "\n", FILE_APPEND);
// ... sua logica aqui (de preferencia numa fila, para responder rapido)
http_response_code(200);
echo '{"ok":true}';