API do FappZap para o seu sistema

A API faz parte do módulo Conector (plano Avançado e Corporativo). O administrador cria uma chave em Configurações → Integrações e APIs → Conector (API), escolhendo o que ela pode fazer (os escopos). A chave aparece uma vez só: guarde-a no seu sistema.

• Endereço: https://<seu-fappzap>/api/conector/v1 — o mesmo endereço do painel.
• Autenticação: cabeçalho x-fappzap-key: <sua chave> em toda chamada.
• Corpo: JSON, com Content-Type: application/json.
• Escopos: mensagens, conversas, fluxos, contatos, chamados.
• Telefone: com DDI e DDD, só números (ex.: 5527999998888).

curl -X POST https://suaempresa.fappzap.cloud/api/conector/v1/mensagens \
  -H "x-fappzap-key: SUA_CHAVE" -H "Content-Type: application/json" \
  -d '{"telefone":"5527999998888","texto":"Seu pedido saiu para entrega."}'

O administrador cadastra, em Configurações → Integrações e APIs → Conector (API), uma URL por evento e, se quiser, um segredo. Há um botão para mandar um aviso de teste.

Cada aviso é um POST em JSON:

POST https://seu-sistema/webhook
x-fappzap-evento: chamado.atualizado
x-fappzap-signature: sha256=5d1c…

{ "evento": "chamado.atualizado", "em": "2026-09-29T14:03:11.402Z", "dados": { … } }

• Assinatura: x-fappzap-signature = sha256= + HMAC-SHA256 do corpo exato recebido, com o segredo cadastrado. Confira antes de confiar no aviso, sobre o corpo cru (sem reformatar o JSON).
• Responda 2xx em até 10 segundos. Sem resposta ou com 5xx, o FappZap tenta de novo mais 2 vezes (depois de 2 s e de 8 s). Com 4xx, não repete: o erro é de quem recebe.
• O último erro de entrega aparece na tela do webhook, no painel.

// Node.js — conferir a assinatura
const crypto = require('crypto');
const esperado = 'sha256=' + crypto.createHmac('sha256', SEGREDO).update(corpoCru).digest('hex');
const ok = crypto.timingSafeEqual(Buffer.from(esperado), Buffer.from(req.headers['x-fappzap-signature'] || ''));