Validador de pasarela WhatsApp

BANCO DE PRUEBAS TÉCNICO

Valida el recorrido completo antes de conectar producción

Inspecciona el mensaje entrante, responde como sistema externo y confirma cada intercambio en la traza, sin entregar nada a Meta.

01
RecibeEvento firmado
02
RespondeCallback seguro
03
AuditaTraza sanitizada

ACCESO DE PRUEBA

Acceso al validador

La contraseña abre este panel. Las integraciones continúan protegidas de forma independiente con firma HMAC, API key y control de replay.

Panel protegido Secretos redactados Sin entrega a Meta

Contraseña de acceso definida por quien publicó el validador

CONEXIÓN DE PRODUCCIÓN

Credenciales para esta validación

Captura los datos generados en Nextotalk. Se conservan únicamente en memoria mientras la aplicación está encendida y nunca se escriben en el archivo de trazas.

Sin configurar

URL pública de este validador Nextotalk enviará los mensajes a esta URL más /api/relay/inbound. Debe ser un dominio público con HTTPS válido. Secreto HMAC de la API receptora Debe ser idéntico al secreto de la Configuración API seleccionada en el nodo Pasarela WhatsApp. API Key de respuesta de Nextotalk Se obtiene con Generar credenciales en la configuración de la pasarela de Nextotalk. HMAC Secret de respuesta de Nextotalk Firma el callback hacia reply.endpoint. No es el mismo secreto con el que Nextotalk firma el mensaje entrante.

Nextotalk → validadorUsa el secreto HMAC de la API receptora.

Validador → NextotalkUsa API Key y HMAC Secret generados por la pasarela.

ArchivosEl token temporal se genera automáticamente y no se captura aquí.

Estado de la conexión

Valida primero el acceso para consultar el estado.

NEXTOTALK HACIA EL TERCERO

Probar la recepción de un mensaje

Genera el mismo sobre JSON, firma HMAC y acuse que utiliza la pasarela de WhatsApp.

POST Endpoint receptor Conecta la herramienta para obtenerlo

Escenario Tenant de prueba Nombre del contacto Teléfono E.164 Texto recibido Endpoint receptor opcional Déjalo vacío cuando este validador sea el receptor. Solo se utiliza para probar otra API autorizada por quien publicó la herramienta. Callback que se informará al tercero

Archivos temporales incluidos

Aún no hay archivos cargados.

Solicitud enviada

Sin ejecución.

Respuesta recibida

Sin ejecución.

AUDITORÍA EN TXT

Registro de lo enviado y recibido

Las entradas se escriben como JSON por línea. Los secretos y tokens quedan redactados.

Hora UTC	Dirección	Etapa	HTTP	Resultado
Sin trazas.

Detalle de traza

Selecciona una fila.

REFERENCIA PARA DESARROLLO

Contrato técnico de la prueba

Estos son los dos intercambios que debe implementar la API externa.

Nextotalk entrega el mensaje

POST /api/relay/inbound con JSON, X-NTK-Event-Id, Idempotency-Key, X-Timestamp y X-Signature.

canonical = timestamp + "." + rawBody
signature = HMAC-SHA256(canonical, inboundSecret)

La API debe responder 2xx con:

{"accepted":true,"receiptId":"receipt-unico"}

El tercero responde a Nextotalk

Usa exactamente reply.endpoint. Incluye la llave de API, sello de tiempo, nonce, firma, evento e idempotencia.

canonical = timestamp + "." + nonce + "." + rawBody
signature = HMAC-SHA256(canonical, callbackSecret)

Tipos admitidos: text y template. Una plantilla no admite adjuntos.

Archivos

Los adjuntos viajan como URL temporal HTTPS, nombre, MIME, tamaño y tipo. El receptor descarga, limita tamaño y valida SHA-256 cuando está disponible.

La aplicación bloquea extensiones ejecutables, redirecciones HTTP, hosts no permitidos, URLs con credenciales y reuso de nonce.

EJEMPLOS LISTOS PARA ADAPTAR

Recepción y respuesta por lenguaje

Cada ejemplo conserva el cuerpo JSON original, valida la firma en tiempo constante, devuelve el acuse y construye el callback firmado.

Selecciona un lenguaje para cargar el ejemplo.

Sustituye las variables de entorno por tu gestor de secretos. Nunca registres la API Key, los secretos HMAC ni URLs temporales completas.

Configuración activa sin exponer secretos

Conecta la herramienta para consultar huellas y endpoints.

Validador de pasarela