Pasarela de pagoDisponibleEspaña · es-ES

Eventos de Redsys: webhooks firmados con reintentos exponenciales

Redsys es la pasarela de pago dominante en España, procesando la mayoría de transacciones con tarjeta de los grandes bancos. 4notify se integra como destino del webhook de notificación de Redsys y traduce cada evento en una notificación al cliente (SMS de confirmación, email con factura, alerta de fraude) y un trigger interno para tu ERP.

WebhookSMSEmail

Visión general

Redsys es la pasarela de pago dominante en España, procesando la mayoría de transacciones con tarjeta de los grandes bancos. 4notify se integra como destino del webhook de notificación de Redsys y traduce cada evento en una notificación al cliente (SMS de confirmación, email con factura, alerta de fraude) y un trigger interno para tu ERP.

Validación nativa de la firma SHA-256 de Redsys + firma HMAC-SHA256 independiente en el webhook saliente. Sin proxies, sin agregadores.

Caso de uso

Cada vez que Redsys notifica un evento (`AUTHORIZATION_OK`, `CAPTURE_OK`, `REFUND_OK`, `CHARGEBACK_RECEIVED`), 4notify dispara el flujo apropiado: SMS al cliente con la operación, email con factura PDF, y un webhook firmado HMAC a tu sistema interno para que actualices el pedido sin código de pegamento.

Mensaje de ejemplo

Esto es lo que recibe tu cliente final cuando se dispara el flujo. Texto verificado en producción — puedes copiarlo y adaptarlo.

EmailPago confirmado · PED-2026-04812Email

Hola, hemos recibido tu pago de 189,50 € correctamente. Adjuntamos la factura en PDF firmada electrónicamente. Tu pedido está en preparación y te avisaremos cuando salga del almacén. Gracias por confiar en nosotros.

Webhook payload

Payload entrante del proveedor. 4notify valida la firma original (cuando aplica), normaliza el contenido y dispara el flujo configurado.

json
{
  "event": "redsys.authorization.ok",
  "order_id": "PED-2026-04812",
  "amount_eur": "189.50",
  "currency": "978",
  "card_brand": "VISA",
  "card_last4": "4242",
  "merchant_code": "999008881",
  "authorization_code": "654321",
  "timestamp": "2026-05-20T10:14:32+02:00",
  "signature_redsys": "...",
  "signature_4notify": "hmac-sha256:8a4b..."
}

Curl + endpoints

Si prefieres disparar la notificación tú mismo en vez de enrutar el webhook, también puedes llamar directamente a la API.

bash
# 4notify recibe el webhook de Redsys, valida la firma SHA-256
# (estándar Redsys), normaliza el payload y dispara el flujo
# configurado para el evento authorization.ok:
#  - SMS al cliente con la confirmación
#  - email con factura PDF adjunta
#  - webhook firmado HMAC-SHA256 a tu ERP
# Reintenta con backoff exponencial: 1m → 5m → 15m → 1h → 6h → 24h.

Pasos de setup

5 pasos, normalmente entre 30 minutos y una tarde. Cada paso se puede deshacer sin afectar al resto.

  1. 01
    Configurar la URL de notificación en Redsys (TPV virtual)
    Apunta el campo «URL OK» y «URL KO» a https://api.4notify.net/webhooks/redsys/{merchant_code}.
  2. 02
    Compartir la clave SHA-256 del comercio
    Pegada en el panel 4notify, sólo se usa para validar la firma entrante. Nunca sale del servidor.
  3. 03
    Mapear los eventos a plantillas
    AUTHORIZATION_OK → plantilla `redsys_pago_confirmado`; REFUND_OK → `redsys_devolucion`; CHARGEBACK_RECEIVED → alerta interna y SMS al comerciante.
  4. 04
    Activar el reenvío a tu ERP
    El webhook saliente lleva firma HMAC-SHA256 independiente para que tu sistema interno pueda verificar el origen sin compartir la clave Redsys.
  5. 05
    Modo de pruebas en sandbox SIS-T
    Antes de pasar a producción, valida con tarjeta de prueba 4548 8120 4940 0004 (Redsys T sandbox).

Conformidad legal

Cada notificación tranzaccional cumple por defecto el marco RGPD/LSSI-CE/AEPD aplicable. Estos son los anclajes específicos de esta integración.

PCI-DSS SAQ-A
4notify nunca recibe el PAN completo, sólo los últimos 4 dígitos — el comercio puede mantener nivel SAQ-A simplificado.
RGPD art. 5.1.c
Minimización de datos: el webhook saliente sólo lleva los campos necesarios para la notificación, configurables por plantilla.
PSD2 SCA (autenticación fuerte)
Los eventos de SCA challenge se notifican como evento separado para que el comercio pueda mostrar la pantalla de 3DS sin parpadeos.

Otras integraciones