# IP de webhooks

Desde dónde entrega FITAL sus webhooks y cómo se avisan los cambios.

**Verificar la firma HMAC sigue siendo obligatorio.** Una IP correcta no prueba que el mensaje sea de FITAL. Esta lista sirve para abrir tu firewall y no sustituye la firma.

> **Próximo.** La lista se publica cuando se fije la IP definitiva de salida. Antes de eso no hay ninguna IP vigente.

La lista también está en [`/webhook-ips.json`](https://merchants.fital.xyz/webhook-ips.json) y en [`GET /v1/meta/egress-ips`](/docs/operaciones/consultar-ip-de-salida/). En la cuenta de prueba esa ruta responde una lista vacía.

## Aviso de cambios

Una IP nueva se publica 15 días antes de usarse, salvo arreglos urgentes de seguridad, en [Cambios](/docs/cambios/), RSS y panel. Durante la transición se publican ambas.

El evento `system.egress_ips.changing` avisa lo mismo a tu destino, con `ip`, `change` (`added` o `retiring`) y `effective_at`. Llega una vez a cada destino activo y suscrito, también si lo activas después del anuncio, hasta una hora antes de `effective_at`. Un destino activado en esa última hora puede no recibir el webhook. El aviso sigue en [`GET /v1/events`](/docs/operaciones/listar-eventos/), y las IP en [`GET /v1/meta/egress-ips`](/docs/operaciones/consultar-ip-de-salida/). Ver [su cuerpo](/docs/webhooks/eventos/#systemegress_ipschanging).

## Errores comunes

- Filtrar por IP y omitir la firma.
- Fijar la lista en tu firewall sin vigilar [Cambios](/docs/cambios/).

## Qué sigue

[Webhooks](/docs/webhooks/).