Как защитить обработчик событий Callback API vk от подмены?
Ты чутка не в теме по ssl)
в 2 словах:
Ты даешь вк свой сертификат (Рисунок 1).
И на сервер бота тоже прикрепляешь сертификат (ОНИ УНИКАЛЬНЫ, невозможно создать 2 "одинаковых" сертификата).
При запросе они сравниваются и воля - подмена НЕВОЗМОЖНА, 
Это все очень условно и грубо))))
ВК добавили параметр «Секретный ключ» в настройки Callback API для групп:Произвольная строка до 50 символов, может включать латинские буквы и цифры.Заданный Вами секретный ключ будет передаваться с каждым уведомлением от сервера в отдельном поле secret. Это позволит Вам достоверно определять, что уведомление пришло именно от нашего сервера. Чтобы исключить возможность подделки запросов, пожалуйста, не публикуйте значение секретного ключа в открытом доступе.Скрин