Como sabe a minha aplicação que um webhook vem realmente do Enquete.com?

Cada webhook tem o seu próprio segredo, e cada pedido inclui uma assinatura que a sua aplicação verifica com esse segredo. Trate o segredo como uma palavra-passe: guarde-o no servidor, por exemplo numa variável de ambiente ou num gestor de segredos, e nunca em código frontend, repositórios públicos ou documentos partilhados.