Webhook es lo contrario de la API. En vez de que tu sistema pregunte de vez en cuando si hubo una venta, la plataforma avisa en el instante en que ocurre el evento, enviando los datos a una dirección que registraste.

Es lo que hace que la entrega sea inmediata: venta aprobada dispara la liberación del acceso, reembolso dispara la remoción.

Dos reglas evitan la mayoría de los problemas. Verifica la firma HMAC antes de confiar en la notificación, y trata los reenvíos del mismo evento sin duplicar el efecto, porque la plataforma repite el llamado cuando no recibe confirmación.