HMAC es un código calculado a partir del contenido del mensaje y de una clave secreta que solo la plataforma y tú conocen. Viaja en un encabezado, junto con el webhook.

De tu lado, recalculas el mismo código con la misma clave y lo comparas. Si coincide, la notificación es legítima y nadie alteró los datos en el camino. Si no coincide, la descartas.

Sin esa verificación, cualquier persona que descubra la dirección de tu webhook puede enviar una notificación falsa de venta aprobada y liberar el acceso a tu producto gratis.