Webhooks: a Doare avisa o seu sistema quando algo acontece

Os eventos

Como configurar?

1. Tenha uma URL HTTPS que aceite POST

   Seu sistema, ou um webhook do Zapier/Make.

2. Em Integrações › Webhooks, clique em Novo endpoint

   Cole a URL e marque os eventos.

3. Guarde o segredo de assinatura

   É com ele que o seu sistema confere que a chamada veio da Doare.

4. Salve e envie o teste

   Um evento de teste chega na hora. Confira o log do seu lado.

O payload

{
  "id": "evt_01J7X4K9M2",
  "type": "donation.paid",
  "created_at": "2026-09-07T14:32:10-03:00",
  "data": {
    "id": 4831207,
    "doador_id": 90214,
    "doador_nome": "Carlos Eduardo Lins",
    "doador_email": "carlos@exemplo.com.br",
    "data": "2026-09-07T14:32:08-03:00",
    "status": "pago",
    "moeda": "BRL",
    "valor_bruto": 100.00,
    "valor_liquido": 96.01,
    "forma_pagamento": "pix",
    "tipo_captacao": "crowdfunding",
    "recorrente": false,
    "id_assinatura": null,
    "campanha": "Bolsas de Estudo 2026",
    "utm_source": "instagram",
    "utm_medium": "bio",
    "utm_campaign": "bolsas-set"
  }
}

• id é único por evento: use-o para ignorar duplicatas.
• type diz o evento; data tem o objeto, com os mesmos campos da API de transações.
• CPF/CNPJ do doador não vai no webhook; consulte pela API quando precisar.
• Datas em ISO 8601 com fuso.

Segurança e confiabilidade

const crypto = require('crypto');
const esperado = crypto.createHmac('sha256', SEGREDO).update(corpoBruto).digest('hex');
const ok = crypto.timingSafeEqual(Buffer.from(esperado), Buffer.from(req.headers['x-doare-signature']));

• Assinatura: HMAC-SHA256 do corpo bruto com o segredo, no cabeçalho X-Doare-Signature. Rejeite o que não confere.
• Resposta: 2xx em até 10 segundos. Processe depois, em fila, se for demorar.
• Reenvio: falha (timeout, 5xx) gera novas tentativas com intervalo crescente por 24 horas. Depois, o evento fica em Entregas para reenvio manual.
• Idempotência: guarde o id do evento processado e ignore repetições.
• Ordem: não é garantida. Um donation.refunded pode chegar antes do donation.paid em caso de reenvio; use as datas.

Webhooks sem código

Zapier, Make e ferramentas parecidas oferecem uma URL de webhook que aceita o POST e deixa você montar o resto por cliques: uma linha na planilha, uma mensagem no Slack, um contato no HubSpot. Cadastre a URL deles como endpoint, marque donation.paid, e monte o fluxo lá. É o caminho para a maioria das organizações.