Совет от тестировщика 91/∞ : Проверяйте подпись вебхука, а не только содержимое.

Подделать запрос на ваш вебхук может кто угодно, кто знает урл. Проверьте, что система реально сверяет подпись и отклоняет запросы без неё, а не просто доверяет любому json на этот адрес.