Entrega de webhooks ao billing falhando

Item	Detalhe
Serviço afetado	Billing
Severidade	aviso
Dispara quando	5 ou mais webhooks recusados em 10 minutos (billing_webhooks_total, resultado unauthorized, not_configured, malformed ou store_failed).

O que representa

O billing recusou o webhook do provedor (401 token errado, 404 tenant sem provedor, 400 corpo ilegível, 503 falha ao guardar). 15 falhas seguidas fazem o Asaas pausar a fila, e os pagamentos deixam de chegar. Pode ser também um scanner da internet batendo na URL pública do webhook.

Como verificar no Grafana

• Dashboard Billing API, aba Pagamentos e webhooks: Entregas recusadas (1 h) e Webhooks recebidos por tipo e resultado (a coluna result).
• Painel do Asaas, aba Logs de Webhooks: as entregas falhas e se a fila foi pausada.

Como agir

1. unauthorized vindo do Asaas: o token do webhook foi trocado ou a conta mudou. Confira o token no Vault e no painel do Asaas.
2. not_configured: o tenant não tem provedor configurado.
3. Se a fila do Asaas pausou, reative-a no painel depois de corrigir a causa.

Se for ataque ou incidente real

unauthorized de IPs que não são do Asaas, em volume: alguém conhece a URL do webhook e tenta forjar pagamento. O billing valida o token, então nada foi aceito; mesmo assim:

1. Troque o token do webhook no painel do Asaas e no Vault, e reinicie o billing.
2. Bloqueie os IPs no nginx (veja o host do billing em nginx/conf/).