payment.succeeded на ваш endpoint — ви активуєте підпискуpush event — ваш CI запускає білдЗовнішній сервіс підписує тіло запиту секретним ключем (HMAC-SHA256). Ваш обробник перевіряє підпис до виконання будь-яких дій — щоб переконатися, що запит прийшов справді від довіреного джерела, а не від зловмисника.
Webhook-обробник повинен відповідати швидко (200 OK) і ставити реальну роботу в чергу — інакше зовнішній сервіс може вважати доставку невдалою і повторити запит.