Как определить от какого сайта webhook пришел?

Есть один url для всех платежных агрегаторов. Как определить от какого сайта пришел? По заголовкам? Можно подменить. Просто сверять signature? Так не буду знать какой провайдер использовать. Знаю, что некоторые дают айпи адреса, но а если их нет?