Webhook en la vitrina
El callback en JS público no es un hack — hasta que el token va en la URL.
Los widgets dejan la URL del callback en el mismo JS que ve cualquier visitante.
Orb44 mira la portada y hace un sondeo seguro same-host. No es un pentest completo.
Prueba: orb44.com/webhook.