Requisição externa: o fluxo chama o seu sistema

// servidor.mjs (Node 18 ou mais novo): node servidor.mjs
import http from 'node:http';
import { timingSafeEqual } from 'node:crypto';

const SEGREDO = process.env.NEXTAGS_SEGREDO;

function igual(a, b) {
  const x = Buffer.from(String(a ?? ''));
  const y = Buffer.from(String(b ?? ''));
  return x.length === y.length && timingSafeEqual(x, y);
}

http.createServer(async (req, res) => {
  if (req.method !== 'POST' || req.url !== '/nextags/pedido') {
    res.writeHead(404).end();
    return;
  }
  if (!SEGREDO || !igual(req.headers['x-segredo'], SEGREDO)) {
    res.writeHead(401).end();
    return;
  }
  let corpo = '';
  for await (const parte of req) corpo += parte;
  let dados;
  try {
    dados = JSON.parse(corpo || '{}');
  } catch {
    res.writeHead(400).end();
    return;
  }
  const contato = req.headers['x-user-id']; // o ID do contato na NexTags
  console.log(`Contato ${contato} consultou o pedido ${dados.pedido}`);

  const resposta = {
    messages: [
      { message: { text: `Seu pedido ${dados.pedido} está a caminho.` } },
    ],
    actions: [
      { action: 'add_tag', tag_name: 'pedido-consultado' },
      { action: 'set_field_value', field_name: 'Status do pedido', value: 'enviado' },
    ],
  };
  res.writeHead(200, { 'Content-Type': 'application/json' });
  res.end(JSON.stringify(resposta));
}).listen(3000);

# servidor.py (Flask): flask --app servidor run --port 3000
import hmac
import os

from flask import Flask, jsonify, request

app = Flask(__name__)
SEGREDO = os.environ.get("NEXTAGS_SEGREDO", "")


@app.post("/nextags/pedido")
def pedido():
    recebido = request.headers.get("X-Segredo", "")
    if not SEGREDO or not hmac.compare_digest(recebido.encode(), SEGREDO.encode()):
        return "", 401
    dados = request.get_json(silent=True) or {}
    contato = request.headers.get("X-USER-ID")  # o ID do contato na NexTags
    app.logger.info("Contato %s consultou o pedido %s", contato, dados.get("pedido"))

    return jsonify({
        "messages": [
            {"message": {"text": f"Seu pedido {dados.get('pedido')} está a caminho."}},
        ],
        "actions": [
            {"action": "add_tag", "tag_name": "pedido-consultado"},
            {"action": "set_field_value", "field_name": "Status do pedido", "value": "enviado"},
        ],
    })

<?php
// pedido.php: a Request URL da requisição aponta para este arquivo
$segredo = (string) getenv('NEXTAGS_SEGREDO');
$recebido = $_SERVER['HTTP_X_SEGREDO'] ?? '';
if ($segredo === '' || !hash_equals($segredo, $recebido)) {
    http_response_code(401);
    exit;
}

$dados = json_decode(file_get_contents('php://input'), true) ?: [];
$contato = $_SERVER['HTTP_X_USER_ID'] ?? ''; // o ID do contato na NexTags
$pedido = $dados['pedido'] ?? '';
error_log("Contato $contato consultou o pedido $pedido");

header('Content-Type: application/json');
echo json_encode([
    'messages' => [
        ['message' => ['text' => "Seu pedido $pedido está a caminho."]],
    ],
    'actions' => [
        ['action' => 'add_tag', 'tag_name' => 'pedido-consultado'],
        ['action' => 'set_field_value', 'field_name' => 'Status do pedido', 'value' => 'enviado'],
    ],
], JSON_UNESCAPED_UNICODE);