Данные подписчика — на ваш сервер прямо из сценария

POST-запрос несёт JSON такого вида — здесь подписчик бота MAX:

{
  "event": "step",
  "deliveryId": "9f1c…",
  "time": "2026-10-27T18:00:00+03:00",
  "bot": {"id": 7, "platform": "max", "username": "shopbot"},
  "step": {"id": 11, "category": 5, "name": "В CRM"},
  "user": {
    "id": 42,
    "platform": "max",
    "platformId": "5550001",
    "chatId": "-70001234",
    "firstName": "Анна",
    "username": "anna",
    "phone": "+79990001122",
    "email": "a@b.ru"
  },
  "variables": {"city": "Казань"}
}

Поле user.id — id подписчика в BotBrother, platformId — его id в мессенджере, chatId — id чата с ботом (у MAX он отличается от id пользователя). В variables — заполненные переменные подписчика по их ключам. Телефона, почты или переменных нет — поля придут пустыми.

Вместе с телом приходят заголовки:

POST /hook HTTP/1.1
Content-Type: application/json
User-Agent: Bot-Webhook/1
X-Webhook-Event: step
X-Webhook-Delivery: 9f1c…
X-Webhook-Timestamp: 1793113200
X-Webhook-Signature: sha256=5d41…

GET-запрос уходит без тела: в нём только то, что вы вставили в адрес, например https://example.com/hook?id={{$SystemVar->userid}}&city={{$Variable->city}}.

Как проверить подпись

Если в действии задан секрет, заголовок X-Webhook-Signature содержит sha256= и HMAC-SHA256 от строки «время + точка + данные запроса», где время — значение X-Webhook-Timestamp (секунды Unix, у каждой попытки своё). Данные — сырое тело для POST и путь с параметрами для GET. Пример на Python:

import hashlib
import hmac
import time

SECRET = b"ваш-секрет"

def verify_signature(headers, payload: bytes) -> bool:
    # payload — сырое тело POST-запроса, как пришло,
    # или путь с параметрами для GET-запроса
    ts = headers.get("X-Webhook-Timestamp", "")
    sig = headers.get("X-Webhook-Signature", "")
    # старше 5 минут — отклоняем: у каждой попытки своё время, дубли отсекайте по X-Webhook-Delivery
    if not ts.isdigit() or abs(time.time() - int(ts)) > 300:
        return False
    msg = ts.encode() + b"." + payload
    digest = hmac.new(SECRET, msg, hashlib.sha256).hexdigest()
    return hmac.compare_digest("sha256=" + digest, sig)

Считайте подпись по телу в том виде, в каком оно пришло, — до разбора JSON: после разбора и обратной сборки байты могут отличаться. Сравнивайте через hmac.compare_digest, а не обычным равенством.

Как вернуть ответ

Любой ответ 2xx — успех. Если в действии выбрана переменная, бот сохранит в неё ответ целиком или одно поле по пути. Для ответа ниже путь data.link запишет в переменную ссылку, и следующее «Сообщение» покажет её подписчику:

HTTP/1.1 200 OK
Content-Type: application/json

{"data": {"link": "https://example.com/pay/42"}}

Пошаговая настройка — в инструкции в блоге.