API & webhooks voor je eigen platform

# Een nieuwe lead aanleveren via de REST API
curl -X POST https://api.oxiae.com/v1/leads \
  -H "Authorization: Bearer sk_live_…" \
  -H "Content-Type: application/json" \
  -d '{
    "contact": {
      "naam": "Sanne de Vries",
      "email": "sanne@example.nl",
      "telefoon": "+31 6 12345678"
    },
    "herkomst": {
      "bron": "google-ads",
      "campagne": "rechtsbijstand-q2",
      "label": "juridisch-loket",
      "landingspagina": "https://aanvraag.example.nl/start"
    },
    "consent": {
      "gegeven": true,
      "tekst": "Ik geef toestemming om contact met mij op te nemen.",
      "tijdstip": "2026-06-26T09:41:07Z",
      "ip": "84.12.x.x"
    }
  }'

# Antwoord
{
  "id": "lead_8f21",
  "status": "ontvangen",
  "ontvangen_op": "2026-06-26T09:41:08Z"
}

// Inkomende webhook op jouw endpoint
// Headers:
//   X-OXIAE-Event: match.gevonden
//   X-OXIAE-Signature: sha256=3a7f…b2e1
//   X-OXIAE-Delivery: dlv_77c0
{
  "event_id": "evt_5c93",
  "type": "match.gevonden",
  "aangemaakt": "2026-06-26T09:41:12Z",
  "data": {
    "lead_id": "lead_8f21",
    "afnemer_id": "afn_204",
    "herkomst": {
      "bron": "google-ads",
      "campagne": "rechtsbijstand-q2"
    },
    "consent": {
      "gegeven": true,
      "tijdstip": "2026-06-26T09:41:07Z"
    }
  }
}

// Verifieer de handtekening voordat je de payload vertrouwt (Node.js)
import crypto from "node:crypto";

function verifieer(ruwePayload, handtekening, secret) {
  const verwacht = "sha256=" + crypto
    .createHmac("sha256", secret)
    .update(ruwePayload, "utf8")
    .digest("hex");

  // Constante-tijd-vergelijking tegen timing-aanvallen
  return crypto.timingSafeEqual(
    Buffer.from(verwacht),
    Buffer.from(handtekening)
  );
}

// in je handler:
//   const ok = verifieer(req.rawBody, req.header("X-OXIAE-Signature"), secret);
//   if (!ok) return res.status(401).end();