HMAC é um código calculado a partir do conteúdo da mensagem e de uma chave secreta que só a plataforma e você conhecem. Ele viaja num cabeçalho, junto do webhook.

Do seu lado, você recalcula o mesmo código com a mesma chave e compara. Se bater, a notificação é legítima e ninguém alterou os dados no caminho. Se não bater, você descarta.

Sem essa verificação, qualquer pessoa que descubra o endereço do seu webhook pode enviar uma notificação falsa de venda aprovada e liberar acesso ao seu produto de graça.