Um POST com JSON para a URL do entregável em toda venda paga (purchase) e em todo reembolso ou chargeback (refund). Qualquer linguagem: só precisa receber JSON e calcular um HMAC.

POST https://SEU-SISTEMA.com/api/beepmi
Content-Type: application/json
X-BeepMi-Event: purchase
X-BeepMi-Delivery: dlv_9f2c…       ← id único (ignore repetidos)
X-BeepMi-Timestamp: 1789500000
X-BeepMi-Signature: sha256=<hmac>

{
  "event": "purchase",             // ou "refund"
  "id": "dlv_9f2c…",
  "sent_at": "2026-09-15T15:10:00.000Z",
  "dashboard": "main",
  "email": "cliente@email.com",    // login do entregável
  "name": "Nome do Cliente",
  "phone": "",
  "product_id": "700660",
  "product_name": "M1 - Time Management",
  "transaction_id": "ZPK3KQHU",
  "amount": 21.9, "currency": "EUR", "country": "FR",
  "gateway": "digistore", "status": "approved",
  "test": false                    // true no botão Testar
}

HMAC-SHA256 do corpo cru (os bytes exatos, antes do parse) com o segredo do entregável. Compare com X-BeepMi-Signature; se não bater, responda 401.

Node
const esperado = 'sha256=' + require('crypto')
  .createHmac('sha256', SEGREDO).update(rawBody).digest('hex');
if (esperado !== req.headers['x-beepmi-signature']) return res.status(401).end();

PHP
$raw = file_get_contents('php://input');
$esperado = 'sha256=' . hash_hmac('sha256', $raw, SEGREDO);
if (!hash_equals($esperado, $_SERVER['HTTP_X_BEEPMI_SIGNATURE'])) { http_response_code(401); exit; }

Python
esperado = 'sha256=' + hmac.new(SEGREDO.encode(), raw_body, hashlib.sha256).hexdigest()
if not hmac.compare_digest(esperado, request.headers['X-BeepMi-Signature']): abort(401)

Qualquer 2xx = recebido. Devolvendo o link de acesso, ele entra no e-mail de compra como {{login_url}}:

HTTP 200
{ "ok": true, "login_url": "https://SEU-SISTEMA.com/acesso?token=…" }

purchase → cria ou reativa o usuário com email como login, ligado ao product_id. refund → bloqueia o acesso daquele produto. Use transaction_id ou id para ignorar repetição.

• Fora do ar? 5xx ou timeout entra na fila e é reenviado a cada 10 min por até 10 h, com o mesmo id.
• 4xx é resposta sua (URL ou assinatura): fica no registro com o erro, sem repetir.
• Só produtos escolhidos no cadastro (vazio = todos) e só e-mail real da compra — lead sem pagar nunca chega.
• Testar manda uma compra fictícia assinada de verdade ("test": true) — não crie acesso real para ela.
• Sem sistema pronto? Cadastre a URL https://tracker.beepmi.com/api/entregaveis-demo?s=SEGREDO (troque pelo segredo do card) e clique em Testar — é um receptor de exemplo em 30 linhas de Node, o mesmo código que o seu precisa ter.