@putty Workflows を調べていました。バッジイベントにユーザー名が含まれるようになるまで（あるいは、Workflows のフィルタを使って、自分のサービスが知るべき変更のみを POST するように設定できるため、それがなくても）、これは素晴らしい代替手段になりそうですね！改めてありがとうございます！
Webhook では、シークレットを使用してペイロードの HMAC-SHA256 署名を生成する X-Discourse-Event-Signature ヘッダーがあり、送信元の検証が可能です。Workflows からの HTTP リクエスト（POST）に署名を付ける方法があるでしょうか？まだ見つけていないだけかもしれません。シークレットを使ってリクエストに署名できる「シークレットを使用してリクエストに署名する」といった設定があればと期待していました。最も近い機能は、header_auth クレデンシャルを追加してヘッダーにシークレットを送信すること（例：X-Discourse-Event-Secret: Discourse Rocks!）です。何もないよりはマシですが、シークレット自体を送信するのではなく、シークレットを使った署名の方が望ましいです。