Tu software
abre puertas.

# 1 · Da de alta a la persona en tu local (con la clave del local)
curl -X POST https://api.newaccess.tech/v1/integracion/locales/4/usuarios \
  -H "X-Local-Api-Key: $NA_LOCAL_KEY" \
  -H "Content-Type: application/json" \
  -d '{"email":"marta@example.com","nombre":"Marta","apellidos":"Ruiz"}'
# → {"success":true,"data":{"id_usuario":812,"created":true,…}}

# 2 · Dale acceso para el día de su reserva, con una entrada
curl -X POST https://api.newaccess.tech/v1/locales/4/subscriptions \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"user_id":812,"start_date":"2026-11-14",
       "end_date":"2026-11-14","total_sessions":1}'

# 3 · Cuando entre te llega un aviso firmado. Comprueba que es nuestro:
echo -n "$CUERPO" | openssl dgst -sha256 -hmac "$WEBHOOK_SECRET"
# tiene que dar lo mismo que la cabecera X-NewAccess-Signature: sha256=…

import crypto from "node:crypto";
const API = "https://api.newaccess.tech/v1";

// 1 · Da de alta a la persona en tu local (con la clave del local)
const alta = await fetch(`${API}/integracion/locales/4/usuarios`, {
  method: "POST",
  headers: { "X-Local-Api-Key": process.env.NA_LOCAL_KEY, "Content-Type": "application/json" },
  body: JSON.stringify({ email: "marta@example.com", nombre: "Marta", apellidos: "Ruiz" }),
}).then((r) => r.json());

// 2 · Dale acceso para el día de su reserva, con una entrada
await fetch(`${API}/locales/4/subscriptions`, {
  method: "POST",
  headers: { Authorization: `Bearer ${token}`, "Content-Type": "application/json" },
  body: JSON.stringify({
    user_id: alta.data.id_usuario,
    start_date: "2026-11-14", end_date: "2026-11-14", total_sessions: 1,
  }),
});

// 3 · Cuando entre te llega un aviso firmado. Comprueba que es nuestro (Express):
app.post("/newaccess", express.raw({ type: "application/json" }), (req, res) => {
  const firma = "sha256=" + crypto.createHmac("sha256", SECRET).update(req.body).digest("hex");
  const llega = req.get("X-NewAccess-Signature") ?? "";
  if (firma.length !== llega.length || !crypto.timingSafeEqual(Buffer.from(firma), Buffer.from(llega))) {
    return res.sendStatus(401);
  }
  const aviso = JSON.parse(req.body); // actuator.qr_access_granted, fichaje.entrada_1…
  res.sendStatus(200);
});

import hashlib, hmac, requests
from flask import abort, request

API = "https://api.newaccess.tech/v1"

# 1 · Da de alta a la persona en tu local (con la clave del local)
alta = requests.post(f"{API}/integracion/locales/4/usuarios",
    headers={"X-Local-Api-Key": NA_LOCAL_KEY},
    json={"email": "marta@example.com", "nombre": "Marta", "apellidos": "Ruiz"}).json()

# 2 · Dale acceso para el día de su reserva, con una entrada
requests.post(f"{API}/locales/4/subscriptions",
    headers={"Authorization": f"Bearer {token}"},
    json={"user_id": alta["data"]["id_usuario"],
          "start_date": "2026-11-14", "end_date": "2026-11-14", "total_sessions": 1})

# 3 · Cuando entre te llega un aviso firmado. Comprueba que es nuestro (Flask):
@app.post("/newaccess")
def aviso():
    firma = "sha256=" + hmac.new(SECRET.encode(), request.get_data(), hashlib.sha256).hexdigest()
    if not hmac.compare_digest(firma, request.headers.get("X-NewAccess-Signature", "")):
        abort(401)
    aviso = request.get_json()  # actuator.qr_access_granted, fichaje.entrada_1…
    return "", 200

<?php
function naPost(string $url, array $cabeceras, array $datos): array {
    $ch = curl_init($url);
    curl_setopt_array($ch, [CURLOPT_POST => true, CURLOPT_RETURNTRANSFER => true,
        CURLOPT_HTTPHEADER => [...$cabeceras, 'Content-Type: application/json'],
        CURLOPT_POSTFIELDS => json_encode($datos)]);
    return json_decode(curl_exec($ch), true);
}
$api = 'https://api.newaccess.tech/v1';

// 1 · Da de alta a la persona en tu local (con la clave del local)
$alta = naPost("$api/integracion/locales/4/usuarios", ['X-Local-Api-Key: ' . NA_LOCAL_KEY],
    ['email' => 'marta@example.com', 'nombre' => 'Marta', 'apellidos' => 'Ruiz']);

// 2 · Dale acceso para el día de su reserva, con una entrada
naPost("$api/locales/4/subscriptions", ["Authorization: Bearer $token"], [
    'user_id' => $alta['data']['id_usuario'],
    'start_date' => '2026-11-14', 'end_date' => '2026-11-14', 'total_sessions' => 1,
]);

// 3 · Cuando entre te llega un aviso firmado. Comprueba que es nuestro:
$cuerpo = file_get_contents('php://input');
$firma  = 'sha256=' . hash_hmac('sha256', $cuerpo, WEBHOOK_SECRET);
if (!hash_equals($firma, $_SERVER['HTTP_X_NEWACCESS_SIGNATURE'] ?? '')) {
    http_response_code(401);
    exit;
}
$aviso = json_decode($cuerpo, true); // actuator.qr_access_granted, fichaje.entrada_1…