/webhook e são chamadas pelo provedor, não pelo JWT de um usuário da empresa. A verificação da Meta usa o GET. O evento chega no POST.
O GET da Meta responde o desafio de verificação da URL. O POST recebe o evento. Google Chat e Gmail chegam como push do Pub/Sub no endpoint configurado no provedor.
Para criar um lead a partir do seu próprio sistema, use Criar lead por webhook, que exige o JWT.