Crée ou remplace la configuration webhook du site. L'URL cible doit
être en HTTPS et pointer vers un hôte public.

⚠ Chaque appel régénère le secret de signature (la configuration
précédente est entièrement remplacée) : récupérez-le dans la réponse,
il signe toutes les livraisons à venir.

Deux authentifications possibles : signature « clé de site » en
?key= (serveur-à-serveur), ou JWT d'un compte propriétaire/
administrateur.

⚠ Sans ?key= et sans JWT valide, la réponse est HTTP 200 avec
un corps {"gcCode": 410, "msg": "route need authentication"} — le
webhook n'est alors pas configuré. Vérifiez l'absence du champ
gcCode avant de considérer la configuration comme enregistrée.

⚠ Les noms d'événements ne sont pas validés côté serveur : une
faute de frappe est acceptée (200, active: true) mais l'événement
mal orthographié ne recevra jamais aucune livraison. Copiez
exactement les types listés ci-dessous.