Webhooks

Añade una URL de webhook en el panel, en Desarrolladores, y te enviaremos cada código por POST en cuanto llegue, tanto en los pedidos de un solo uso como en cada mensaje que reciba un número alquilado. Solo HTTPS.

Qué enviamos

POST /hooks/numestri HTTP/1.1
Content-Type: application/json
X-Numera-Event: sms.received
X-Numera-Signature: 9f2c1a…
X-Numera-Delivery: whk_8c1f…
X-Numera-Attempt: 1

{
  "orderid": "JRJ5UEXS",
  "sms": "140722",
  "full_sms": "140722 is your Telegram verification code.",
  "timestamp": "2026-10-14 07:42:11pm"
}

POST /hooks/numestri HTTP/1.1
Content-Type: application/json
X-Numera-Event: rental.received
X-Numera-Signature: 4be07d…
X-Numera-Delivery: whk_2a9e…
X-Numera-Attempt: 1

{
  "rental_code": "SNBW9MPY",
  "phonenumber": "44839572864",
  "full_sms": "Login code: 88213",
  "timestamp": "2026-10-14 07:42:11pm"
}

Verificar la firma

Tu secreto de firma (whsec_…) se muestra en Desarrolladores cuando añades el webhook. Es independiente de tus claves de API, así que puedes crear y eliminar claves sin romper la verificación. Comprueba cada entrega antes de fiarte de ella:

import { createHmac, timingSafeEqual } from "node:crypto";

export function verify(rawBody, signature, signingSecret) {
  const expected = createHmac("sha256", signingSecret).update(rawBody).digest("hex");
  const a = Buffer.from(expected, "hex");
  const b = Buffer.from(signature ?? "", "hex");
  // Primero la longitud: timingSafeEqual lanza un error si no coincide.
  return a.length === b.length && timingSafeEqual(a, b);
}

import hashlib, hmac

def verify(raw_body: bytes, signature: str, signing_secret: str) -> bool:
    expected = hmac.new(signing_secret.encode(), raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, signature or "")

Verifica con el cuerpo de la petición sin procesar, antes de que cualquier análisis del JSON lo vuelva a serializar.

Confirmación y reintentos

• Responde con cualquier 2xx en un plazo de 8 segundos para confirmar la recepción.

• Cualquier otra respuesta se reintenta, ocho intentos en total, repartidos a lo largo de unas dos horas (10 s, 30 s, 2 min, 5 min, 15 min, 30 min, 1 h).

• Tras 50 entregas fallidas consecutivas, el webhook se pone en pausa. Vuelve a guardar la URL en Desarrolladores para reactivarlo.

• Enviar prueba, en Desarrolladores, entrega un ejemplo firmado, para que puedas comprobar tu receptor antes de que un código real dependa de él.