Webhooks

Événements entrants, authentifiés par signature HMAC.

Endpoint	Source	Vérification
`POST /api/webhooks/chariow`	Chariow (paiements)	HMAC dans l'en-tête `X-Chariow-Signature` (configurable)
`POST /api/ads/webhook`	Service Ads	HMAC avec le secret du service Ads

Un webhook dont la signature est invalide doit être rejeté. Les secrets se configurent par variables d'environnement, jamais dans le code.