Receber a mensagem: o webhook, com o código pronto

{
  "object": "whatsapp_business_account",
  "entry": [{
    "id": "102290129340398",
    "changes": [{
      "field": "messages",
      "value": {
        "messaging_product": "whatsapp",
        "metadata": {
          "display_phone_number": "5548999999999",
          "phone_number_id": "106540352242922"
        },
        "contacts": [{
          "profile": { "name": "Ana" },
          "wa_id": "5548988887777"
        }],
        "messages": [{
          "from": "5548988887777",
          "id": "wamid.HBgLMTY1MDM4Nzk0MzkVAgAS",
          "timestamp": "1749416383",
          "type": "text",
          "text": { "body": "voces abrem sabado?" }
        }]
      }
    }]
  }]
}

export default {
  async fetch(request, env) {
    const url = new URL(request.url);
    if (url.pathname !== '/webhook') {
      return new Response('no ar', { status: 200 });
    }

    // 1. Verificacao. A Meta chama uma vez, quando voce cadastra o endereco.
    if (request.method === 'GET') {
      const modo = url.searchParams.get('hub.mode');
      const token = url.searchParams.get('hub.verify_token');
      const desafio = url.searchParams.get('hub.challenge');
      if (modo === 'subscribe' && token === env.VERIFY_TOKEN) {
        return new Response(desafio, { status: 200 });
      }
      return new Response('token errado', { status: 403 });
    }

    // 2. Mensagens.
    if (request.method === 'POST') {
      const corpo = await request.text();

      const assinatura = request.headers.get('x-hub-signature-256');
      if (!(await assinaturaConfere(corpo, assinatura, env.APP_SECRET))) {
        return new Response('assinatura invalida', { status: 401 });
      }

      const dados = JSON.parse(corpo);
      const valor = dados?.entry?.[0]?.changes?.[0]?.value;

      // Confirmacao de entrega e de leitura chegam aqui tambem. Ignore.
      const mensagem = valor?.messages?.[0];
      if (!mensagem) {
        return new Response('ok', { status: 200 });
      }

      const de = mensagem.from;
      const nome = valor?.contacts?.[0]?.profile?.name ?? '';
      const texto = mensagem.type === 'text' ? mensagem.text.body : '';

      console.log('mensagem de', nome, de, texto);

      // No capitulo 5 a resposta entra aqui.

      return new Response('ok', { status: 200 });
    }

    return new Response('metodo nao permitido', { status: 405 });
  },
};

// A Meta assina o corpo com o segredo do aplicativo. Sem esta conferencia,
// qualquer pessoa que descubra o seu endereco manda mensagem falsa pro seu
// atendente e voce paga a resposta.
async function assinaturaConfere(corpo, cabecalho, segredo) {
  if (!cabecalho || !segredo) return false;

  const chave = await crypto.subtle.importKey(
    'raw',
    new TextEncoder().encode(segredo),
    { name: 'HMAC', hash: 'SHA-256' },
    false,
    ['sign'],
  );
  const assinado = await crypto.subtle.sign('HMAC', chave, new TextEncoder().encode(corpo));
  const hex = [...new Uint8Array(assinado)]
    .map((b) => b.toString(16).padStart(2, '0'))
    .join('');
  const esperado = 'sha256=' + hex;

  // Comparacao de tempo constante: comparar com === vaza, pelo tempo de
  // resposta, quantos caracteres bateram.
  if (esperado.length !== cabecalho.length) return false;
  let diferenca = 0;
  for (let i = 0; i < esperado.length; i += 1) {
    diferenca |= esperado.charCodeAt(i) ^ cabecalho.charCodeAt(i);
  }
  return diferenca === 0;
}

npm create cloudflare@latest atendente -- --type=hello-world
cd atendente
# cole o arquivo acima em src/index.js
npx wrangler secret put VERIFY_TOKEN
npx wrangler secret put APP_SECRET
npx wrangler deploy