wyzecash 0.2.0 → 0.3.0

package/CHANGELOG.md

@@ -1,5 +1,20 @@
 # Mudanças
 
+## 0.3.0 (15/11/2026)
+
+**Atualize antes de 01/12/2026:** a 0.2.0 só lê o cabeçalho `X-Bukio-Signature`, que deixa de vir nos webhooks em 01/12/2026. A partir desse dia, o plugin `wyzecash/fastify` da 0.2.0 recusa todos os avisos.
+
+**Mudanças que pedem ajuste no seu código:**
+
+- Os webhooks passam a vir com os cabeçalhos `X-WyzeCash-Signature`, `X-WyzeCash-Event` e `X-WyzeCash-Delivery`. Até 30/11/2026 (23h59 de Brasília) os antigos `X-Bukio-*` vêm junto, com o mesmo valor; a partir de 01/12/2026, só os novos. A assinatura continua no mesmo formato.
+- `SIGNATURE_HEADER` passa a ser `x-wyzecash-signature`; o antigo fica em `LEGACY_SIGNATURE_HEADER` (`x-bukio-signature`). O plugin `wyzecash/fastify` lê o cabeçalho novo primeiro e, sem ele, o antigo (com o plugin, nada muda no seu código). Se você lê o cabeçalho na mão, passe o `x-wyzecash-signature` para o `verifyWebhook`.
+- A chave de API passa a começar com `wyze_` no lugar de `bk_live_` (a mesma chave, só o começo muda: `bk_live_ABC123_XYZ` vira `wyze_ABC123_XYZ`). A `bk_live_` vale até 30/11/2026; a partir de 01/12/2026, a API recusa com `401 OLD_KEY_PREFIX`. Troque o começo da chave na variável `WYZECASH_API_KEY`.
+- As mensagens do `WyzeCashWebhookError` citam o `X-WyzeCash-Signature` (os códigos, como `MISSING_SIGNATURE`, não mudam).
+
+**Novidades:**
+
+- `subaccounts.updateSettings` aceita `medFeeToSubaccount`: repassar a taxa de MED à subconta (a Taxa de MED recebido de um MED numa venda da subconta sai dela).
+
 ## 0.2.0
 
 **Mudanças que pedem ajuste no seu código:**

package/README.md

@@ -21,7 +21,7 @@ const cobranca = await wyzecash.payments.create({
 console.log(cobranca.copyPaste); // Pix Copia e Cola
 ```
 
-A chave de API (`bk_live_…`) é criada no painel, em Integrações e API, com uma permissão por rota. Sem passar a chave, o SDK lê a variável `WYZECASH_API_KEY`.
+A chave de API (`wyze_…`) é criada no painel, em Integrações e API, com uma permissão por rota. Sem passar a chave, o SDK lê a variável `WYZECASH_API_KEY`.
 
 Não existe ambiente de testes: todo pedido é de verdade. Para testar, faça uma cobrança pequena.
 
@@ -102,18 +102,18 @@ Chamar a consulta da cobrança em sequência para ver se ela foi paga gasta o li
 
 ## Webhooks
 
-Cada aviso chega com o cabeçalho `X-Bukio-Signature`. Confira sempre com o corpo cru, como chegou:
+Cada aviso chega com o cabeçalho `X-WyzeCash-Signature` (junto vêm o `X-WyzeCash-Event`, com o tipo do evento, e o `X-WyzeCash-Delivery`, com o código da entrega). Até 30/11/2026 os antigos `X-Bukio-*` vêm junto, com o mesmo valor; a partir de 01/12/2026, só os novos. Confira sempre com o corpo cru, como chegou:
 
 ```ts
 import { verifyWebhook } from "wyzecash";
 
-const evento = await verifyWebhook(corpoCru, request.headers["x-bukio-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+const evento = await verifyWebhook(corpoCru, request.headers["x-wyzecash-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
 if (evento.type === "payment.paid") {
   // marque o pedido como pago (use evento.id para não processar duas vezes)
 }
 ```
 
-Aviso com assinatura errada, sem assinatura ou assinado há mais de 5 minutos lança `WyzeCashWebhookError`.
+Aviso com assinatura errada, sem assinatura ou assinado há mais de 5 minutos lança `WyzeCashWebhookError`. Os nomes dos cabeçalhos ficam em `SIGNATURE_HEADER` (`x-wyzecash-signature`) e `LEGACY_SIGNATURE_HEADER` (o antigo, `x-bukio-signature`).
 
 ### Fastify
 
@@ -136,7 +136,7 @@ await app.register(wyzecashWebhooks, {
 await app.listen({ port: 3000 });
 ```
 
-O plugin lê o corpo cru só na rota dele (o resto da aplicação continua lendo JSON como sempre) e responde `200` quando deu certo, `400` quando o aviso não é da WyzeCash e `500` quando o `onEvent` falha (a WyzeCash manda de novo mais tarde).
+O plugin lê o corpo cru só na rota dele (o resto da aplicação continua lendo JSON como sempre), confere o `X-WyzeCash-Signature` (sem ele, o antigo `X-Bukio-Signature`) e responde `200` quando deu certo, `400` quando o aviso não é da WyzeCash e `500` quando o `onEvent` falha (a WyzeCash manda de novo mais tarde).
 
 ## Tempo real (WebSocket)
 
@@ -157,6 +157,34 @@ ws.on("error", (erro) => console.error(erro.code, erro.message));
 - Chave apagada ou inválida fecha a conexão (código 1008) e não reconecta. `ws.close()` fecha de vez.
 - No Node 20, que não tem WebSocket, passe o do pacote `ws`: `wyzecash.realtime({ WebSocket })` com `import WebSocket from "ws"`.
 
+## Atualizar da 0.2.0
+
+```bash
+npm install wyzecash@0.3.0
+```
+
+> **Atualize antes de 01/12/2026.** A 0.2.0 só lê o cabeçalho `X-Bukio-Signature`, que deixa de vir nos webhooks em 01/12/2026: a partir desse dia, o plugin `wyzecash/fastify` da 0.2.0 recusa todos os avisos.
+
+| Na 0.2.0 | Na 0.3.0 |
+| --- | --- |
+| Cabeçalho `X-Bukio-Signature` | `X-WyzeCash-Signature`. Até 30/11/2026 o antigo vem junto, com o mesmo valor |
+| `SIGNATURE_HEADER` é `x-bukio-signature` | `SIGNATURE_HEADER` é `x-wyzecash-signature`, e o antigo fica em `LEGACY_SIGNATURE_HEADER` |
+| Chave de API `bk_live_…` | `wyze_…` (a mesma chave, só o começo muda) |
+
+**Webhooks:** com o plugin `wyzecash/fastify`, nada muda no seu código: ele lê o cabeçalho novo e, sem ele, o antigo. Se você lê o cabeçalho na mão, passe o novo para o `verifyWebhook` (a assinatura continua no mesmo formato):
+
+```ts
+// Antes (0.2.0)
+const evento = await verifyWebhook(corpoCru, request.headers["x-bukio-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+
+// Agora (0.3.0)
+const evento = await verifyWebhook(corpoCru, request.headers["x-wyzecash-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+```
+
+**Chave de API:** troque o começo da chave onde ela fica guardada (a variável `WYZECASH_API_KEY`): `bk_live_ABC123_XYZ` vira `wyze_ABC123_XYZ`. A `bk_live_` vale até 30/11/2026; a partir de 01/12/2026, a API recusa com `401 OLD_KEY_PREFIX`. O resto do código não muda.
+
+**O que mais mudou:** `subaccounts.updateSettings` aceita `medFeeToSubaccount`, para repassar a taxa de MED à subconta.
+
 ## Documentação
 
 Referência completa da API: https://docs.wyzecash.com.br

package/dist/client.d.ts

@@ -5,7 +5,7 @@ import { RealtimeConnection, type RealtimeOptions } from "./realtime.js";
 import { Webhooks } from "./webhooks.js";
 export declare const DEFAULT_BASE_URL = "https://api.wyzecash.com.br";
 export interface ClientOptions {
-    /** A chave de API (`bk_live_…`). Sem ela, vale a variável de ambiente `WYZECASH_API_KEY`. */
+    /** A chave de API (`wyze_…`). Sem ela, vale a variável de ambiente `WYZECASH_API_KEY`. */
     apiKey?: string;
     /** Endereço da API (padrão: o de produção). */
     baseUrl?: string;

package/dist/fastify.js

@@ -7,13 +7,21 @@
 //     async onEvent(evento) { if (evento.type === "payment.paid") ... },
 //   });
 //
-// A rota lê o corpo cru (a assinatura é conferida nos bytes como chegaram). O plugin não é
-// "fastify-plugin" de propósito: a troca do leitor de JSON fica só dentro dele e o resto da sua
-// aplicação continua lendo JSON como sempre. Responde 200 quando deu certo, 400 quando o aviso não
-// é da WyzeCash e 500 quando o seu onEvent falha (aí a WyzeCash manda de novo mais tarde).
+// A rota lê o corpo cru (a assinatura é conferida nos bytes como chegaram) e a assinatura do
+// cabeçalho X-WyzeCash-Signature; sem ele, a do antigo X-Bukio-Signature, que vem junto até
+// 30/11/2026. O plugin não é "fastify-plugin" de propósito: a troca do leitor de JSON fica só
+// dentro dele e o resto da sua aplicação continua lendo JSON como sempre. Responde 200 quando deu
+// certo, 400 quando o aviso não é da WyzeCash e 500 quando o seu onEvent falha (aí a WyzeCash
+// manda de novo mais tarde).
 import { WyzeCashWebhookError } from "./errors.js";
-import { SIGNATURE_HEADER, verifyWebhook } from "./webhooks.js";
+import { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, verifyWebhook } from "./webhooks.js";
 const env = (name) => globalThis.process?.env?.[name];
+/** O valor de um cabeçalho (o primeiro, se vier repetido), ou nada quando falta ou vem vazio. */
+function header(request, name) {
+    const value = request.headers[name];
+    const text = Array.isArray(value) ? value[0] : value;
+    return text || undefined;
+}
 export async function wyzecashWebhooks(fastify, options) {
     const secret = options.secret ?? env("WYZECASH_WEBHOOK_SECRET");
     if (!secret)
@@ -28,7 +36,7 @@ export async function wyzecashWebhooks(fastify, options) {
             return reply.code(400).send({ error: "Corpo do aviso vazio ou fora do JSON." });
         let event;
         try {
-            event = await verifyWebhook(raw, request.headers[SIGNATURE_HEADER], secret, { tolerance: options.tolerance });
+            event = await verifyWebhook(raw, header(request, SIGNATURE_HEADER) ?? header(request, LEGACY_SIGNATURE_HEADER), secret, { tolerance: options.tolerance });
         }
         catch (error) {
             if (error instanceof WyzeCashWebhookError) {

package/dist/generated.d.ts

@@ -2315,6 +2315,8 @@ export type SubaccountsUpdateSettingsParams = {
     };
     /** Bloqueio automático por MED: subconta sem saldo livre para o MED fica sem sacar até pagar. */
     medAutoLock?: boolean;
+    /** Repassar a taxa de MED à subconta: a Taxa de MED recebido de um MED numa venda da subconta sai dela (na venda dividida, cada uma paga a parte dela); sem saldo livre, fica pendente e sai das próximas entradas dela. */
+    medFeeToSubaccount?: boolean;
     /** Saque para o titular: `off`, `notify` (avisa quando é outra pessoa) ou `cpf_only` (só a chave CPF/CNPJ do titular). */
     holderWithdrawal?: "off" | "notify" | "cpf_only";
 };
@@ -3483,7 +3485,7 @@ export declare class SubaccountsResource {
      *
      * - Sem taxa no pedido, a subconta segue a taxa global da Configuração das subcontas (`feeMode: "global"`); com comissão por venda (`saleFeeBps`, `saleFeeFixed`) ou taxa por saque (`withdrawFeeBps`, `withdrawFeeFixed`), fica com a própria (`feeMode: "custom"`). `pixKey` é a chave Pix do cliente para o saque dele.
      * - Os `limits` que não vierem no pedido usam os limites padrão da Configuração das subcontas.
-     * - O `name` tem de 2 a 80 caracteres. Use só o nome do cliente: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`.
+     * - O `name` é o nome do cliente (com CPF, nome e sobrenome; com CNPJ, a razão social; até 100 caracteres), sem CPF/CNPJ, id ou colchetes: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`. Até 30/11/2026 o nome fora da regra ainda passa, com o cabeçalho `Warning`; a partir de 01/12/2026, `422 INVALID_NAME`.
      * - Opcionais: `document` (CPF ou CNPJ do titular, guardado criptografado; volta inteiro ao abrir a subconta e mascarado na lista), `lockMode` (`none`, `receive`, `withdraw` ou `full`) e `limits` (`perWithdrawal`, `daily`, `monthly` em centavos para o saque da subconta; `null` sem limite).
      *
      * `POST /v1/subaccounts`
@@ -3532,7 +3534,7 @@ export declare class SubaccountsResource {
     /**
      * Configuração das subcontas
      *
-     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`). Centavos e pontos-base.
+     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`, com a Taxa de MED recebido em `med`). Centavos e pontos-base.
      *
      * **Permissão da chave:** `subaccounts:get`.
      *
@@ -3542,7 +3544,7 @@ export declare class SubaccountsResource {
     /**
      * Mudar a Configuração das subcontas
      *
-     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
+     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`: a Taxa de MED recebido de um MED numa venda da subconta sai dela; sem saldo livre, fica pendente nela) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
      *
      * **Permissão da chave:** `subaccounts:update`.
      *
@@ -3565,7 +3567,7 @@ export declare class SubaccountsResource {
     /**
      * Movimentos da subconta
      *
-     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`).
+     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`, `med_fee`, a taxa de MED repassada).
      *
      * **Permissão da chave:** `subaccounts:entries`.
      *

package/dist/generated.js

@@ -558,7 +558,7 @@ export class SubaccountsResource {
      *
      * - Sem taxa no pedido, a subconta segue a taxa global da Configuração das subcontas (`feeMode: "global"`); com comissão por venda (`saleFeeBps`, `saleFeeFixed`) ou taxa por saque (`withdrawFeeBps`, `withdrawFeeFixed`), fica com a própria (`feeMode: "custom"`). `pixKey` é a chave Pix do cliente para o saque dele.
      * - Os `limits` que não vierem no pedido usam os limites padrão da Configuração das subcontas.
-     * - O `name` tem de 2 a 80 caracteres. Use só o nome do cliente: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`.
+     * - O `name` é o nome do cliente (com CPF, nome e sobrenome; com CNPJ, a razão social; até 100 caracteres), sem CPF/CNPJ, id ou colchetes: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`. Até 30/11/2026 o nome fora da regra ainda passa, com o cabeçalho `Warning`; a partir de 01/12/2026, `422 INVALID_NAME`.
      * - Opcionais: `document` (CPF ou CNPJ do titular, guardado criptografado; volta inteiro ao abrir a subconta e mascarado na lista), `lockMode` (`none`, `receive`, `withdraw` ou `full`) e `limits` (`perWithdrawal`, `daily`, `monthly` em centavos para o saque da subconta; `null` sem limite).
      *
      * `POST /v1/subaccounts`
@@ -617,7 +617,7 @@ export class SubaccountsResource {
     /**
      * Configuração das subcontas
      *
-     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`). Centavos e pontos-base.
+     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`, com a Taxa de MED recebido em `med`). Centavos e pontos-base.
      *
      * **Permissão da chave:** `subaccounts:get`.
      *
@@ -629,7 +629,7 @@ export class SubaccountsResource {
     /**
      * Mudar a Configuração das subcontas
      *
-     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
+     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`: a Taxa de MED recebido de um MED numa venda da subconta sai dela; sem saldo livre, fica pendente nela) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
      *
      * **Permissão da chave:** `subaccounts:update`.
      *
@@ -656,7 +656,7 @@ export class SubaccountsResource {
     /**
      * Movimentos da subconta
      *
-     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`).
+     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`, `med_fee`, a taxa de MED repassada).
      *
      * **Permissão da chave:** `subaccounts:entries`.
      *

package/dist/index.d.ts

@@ -5,4 +5,4 @@ export * from "./generated.js";
 export { ListPromise } from "./pagination.js";
 export { RealtimeConnection, matchesEvent, type RealtimeEvent, type RealtimeOptions, type WebSocketConstructor, type WebSocketLike } from "./realtime.js";
 export { VERSION } from "./version.js";
-export { SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook, type VerifyOptions, type WebhookEvent, type WebhookEventType } from "./webhooks.js";
+export { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook, type VerifyOptions, type WebhookEvent, type WebhookEventType } from "./webhooks.js";

package/dist/index.js

@@ -4,4 +4,4 @@ export * from "./generated.js";
 export { ListPromise } from "./pagination.js";
 export { RealtimeConnection, matchesEvent } from "./realtime.js";
 export { VERSION } from "./version.js";
-export { SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook } from "./webhooks.js";
+export { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook } from "./webhooks.js";

package/dist/version.d.ts

@@ -1 +1 @@
-export declare const VERSION = "0.2.0";
+export declare const VERSION = "0.3.0";

package/dist/version.js

@@ -1 +1 @@
-export const VERSION = "0.2.0";
+export const VERSION = "0.3.0";

package/dist/webhooks.d.ts

@@ -13,7 +13,10 @@ export interface VerifyOptions {
     /** Agora, em segundos (para testes). */
     now?: number;
 }
-export declare const SIGNATURE_HEADER = "x-bukio-signature";
+/** O cabeçalho da assinatura (em minúsculas, como o Node entrega). */
+export declare const SIGNATURE_HEADER = "x-wyzecash-signature";
+/** O cabeçalho antigo: vem junto, com o mesmo valor, até 30/11/2026; a partir de 01/12/2026, não vem mais. */
+export declare const LEGACY_SIGNATURE_HEADER = "x-bukio-signature";
 /**
  * Confere a assinatura e devolve o evento. Lança `WyzeCashWebhookError` quando o aviso não é da
  * WyzeCash (assinatura errada, sem assinatura ou fora do prazo).

package/dist/webhooks.js

@@ -1,7 +1,8 @@
 // Conferir a assinatura dos webhooks da WyzeCash. Cada aviso chega com o cabeçalho
-//   X-Bukio-Signature: t=<unix>,v1=<HMAC-SHA256 em hex de "<t>.<corpo>">
-// feito com o segredo do webhook (painel › Integrações e API › Webhooks). Confira sempre com o
-// corpo cru, como chegou: o JSON lido e escrito de novo muda os bytes e a assinatura não bate.
+//   X-WyzeCash-Signature: t=<unix>,v1=<HMAC-SHA256 em hex de "<t>.<corpo>">
+// feito com o segredo do webhook (painel › Integrações e API › Webhooks). Até 30/11/2026 o antigo
+// X-Bukio-Signature vem junto, com o mesmo valor; a partir de 01/12/2026, só o novo. Confira sempre
+// com o corpo cru, como chegou: o JSON lido e escrito de novo muda os bytes e a assinatura não bate.
 // Usa o Web Crypto, então funciona no Node 20+, Bun, Deno e servidores na borda.
 import { WyzeCashWebhookError } from "./errors.js";
 export const WEBHOOK_EVENT_TYPES = [
@@ -20,7 +21,10 @@ export const WEBHOOK_EVENT_TYPES = [
     "subaccount.debited",
     "webhook.test",
 ];
-export const SIGNATURE_HEADER = "x-bukio-signature";
+/** O cabeçalho da assinatura (em minúsculas, como o Node entrega). */
+export const SIGNATURE_HEADER = "x-wyzecash-signature";
+/** O cabeçalho antigo: vem junto, com o mesmo valor, até 30/11/2026; a partir de 01/12/2026, não vem mais. */
+export const LEGACY_SIGNATURE_HEADER = "x-bukio-signature";
 const encoder = new TextEncoder();
 function toBytes(body) {
     if (typeof body === "string")
@@ -49,12 +53,12 @@ export async function verifyWebhook(body, signatureHeader, secret, options = {})
     if (!secret)
         throw new Error("Passe o segredo do webhook (painel › Integrações e API › Webhooks).");
     if (!signatureHeader)
-        throw new WyzeCashWebhookError("Aviso sem o cabeçalho X-Bukio-Signature.", "MISSING_SIGNATURE");
+        throw new WyzeCashWebhookError("Aviso sem o cabeçalho X-WyzeCash-Signature.", "MISSING_SIGNATURE");
     const parts = signatureHeader.split(",").map((part) => part.trim().split("="));
     const timestamp = Number(parts.find(([k]) => k === "t")?.[1]);
     const signatures = parts.filter(([k]) => k === "v1").map(([, v]) => v ?? "");
     if (!Number.isInteger(timestamp) || !signatures.length)
-        throw new WyzeCashWebhookError("Cabeçalho X-Bukio-Signature em formato errado.", "INVALID_SIGNATURE");
+        throw new WyzeCashWebhookError("Cabeçalho X-WyzeCash-Signature em formato errado.", "INVALID_SIGNATURE");
     const tolerance = options.tolerance ?? 300;
     const now = options.now ?? Math.floor(Date.now() / 1000);
     if (Math.abs(now - timestamp) > tolerance)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wyzecash",
-  "version": "0.2.0",
+  "version": "0.3.0",
   "description": "SDK oficial da WyzeCash para Node.js, Bun e Deno: cobranças por Pix, cartão e cripto, saques, subcontas e webhooks (com plugin para o Fastify).",
   "license": "MIT",
   "type": "module",