Ein Webhook kehrt die übliche Richtung um. Anstatt dass der Client wiederholt fragt, ob sich etwas geändert hat, registriert er eine eigene URL, und der Server sendet bei einem Ereignis eine HTTP-Anfrage an diese URL. Für diese Anfragen fungiert der Client als Server.
Sie abonnieren den Dienst, indem Sie dem Anbieter eine URL übermitteln und im Gegenzug in der Regel ein gemeinsames Geheimnis erhalten. Bei einem Ereignis sendet der Anbieter eine Nutzlast per POST an diese URL und signiert sie – typischerweise mit einem HMAC-Hash im Header des Antworttextes. Ihr Endpunkt überprüft die Signatur, antwortet umgehend mit einem Statuscode 2xx und führt anschließend die eigentliche Verarbeitung durch. Anbieter senden Antworten, die nicht mit 2xx übereinstimmen, erneut, sodass Zustellungen mehrfach erfolgen können.
Der Empfang eines Webhooks bedeutet, dass das Ereignis eingetreten ist. Ein nicht verifizierter Webhook-Endpunkt ist eine öffentliche URL, an die jeder beliebige Daten senden kann. Die Signatur ist obligatorisch und muss anhand der exakt empfangenen Rohdaten berechnet werden – das vorherige Parsen und erneute Serialisieren des JSON-Codes ist der häufigste Grund, warum eine korrekte Implementierung die Verifizierung nicht durchführen kann.
Mit der Webhooks-API können Sie abonnieren, eine Zustellung auslösen, den `x-funapi-signature` -Header lesen und verifizieren – und anschließend die Nutzdaten manipulieren und beobachten, wie die Verifizierung fehlschlägt.
Diese Seite auf Englisch lesen
Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs
Zuletzt aktualisiert