Bisher hieß herauszufinden, ob ein Beitrag rausgegangen ist, nachfragen. Sie riefen die API auf, prüften den Status und riefen später erneut auf. Das funktioniert, ist aber Abfragerei: Entweder fragen Sie zu oft und verschwenden Anfragen, oder Sie fragen zu selten und erfahren es spät. Webhooks drehen das um. Sie geben sona.to eine URL, und sona.to ruft Sie in dem Moment, in dem etwas passiert. Sie sind ab sofort in jedem Tarif enthalten.
Es gibt vier Ereignisse zum Abonnieren, und sie decken die Ergebnisse ab, auf die es sich zu reagieren lohnt: Beitrag veröffentlicht, Beitrag fehlgeschlagen, Website-Audit abgeschlossen und Website-Audit fehlgeschlagen. Sie entscheiden, welche jeder Webhook erhält, sodass ein Slack-Melder nur auf Fehler hören kann, während eine Reporting-Pipeline alles bekommt. Die Nutzdaten verwenden dieselben Feldnamen, die auch die REST API liefert, also funktioniert das, was Sie aus einer GET-Anfrage bereits auswerten, unverändert weiter.
Das Einrichten dauert eine Minute. Öffnen Sie die API-Seite in Ihrem Dashboard, fügen Sie die URL ein, die Ihr Tool Ihnen gegeben hat, haken Sie die gewünschten Ereignisse an und speichern Sie. Der Signaturschlüssel erscheint in diesem Moment ein einziges Mal. Kopieren Sie ihn dann, denn er wird nicht noch einmal angezeigt.
Über diesen Schlüssel wissen Sie, dass eine Anfrage echt ist. Jede Zustellung trägt einen Signatur-Header mit einem Zeitstempel und einem HMAC SHA-256 aus diesem Zeitstempel und dem Anfragekörper, berechnet mit Ihrem Schlüssel. Berechnen Sie ihn auf Ihrer Seite neu und vergleichen Sie beide mit einer Funktion konstanter Laufzeit. Da der Zeitstempel Teil des signierten Materials ist, kann eine abgefangene Anfrage später nicht gegen Sie erneut eingespielt werden. Weisen Sie alles zurück, was älter als ein paar Minuten ist, und Sie sind fertig.
Zustellungen geben beim ersten Problem nicht auf. Wenn Ihr Endpunkt nicht erreichbar ist oder einen Fehler liefert, wird die Anfrage nach 60 Sekunden, dann nach 5 Minuten und dann nach 30 Minuten erneut versucht. Jeder Versuch wird mit Statuscode und Dauer protokolliert, sodass ein auffälliger Endpunkt etwas ist, das Sie ansehen können statt zu raten. Ein Endpunkt, der dauerhaft fehlschlägt, wird automatisch abgeschaltet, und Sie können ihn wieder aktivieren, sobald er repariert ist.
Der naheliegende Ort, auf den man ihn richtet, ist eine Automatisierungsplattform. Zapier, Make und n8n geben Ihnen alle eine Webhook-URL zum Einfügen, und das Ereignis kommt als JSON an, bereit für den nächsten Schritt: eine Nachricht in einem Kanal, eine Zeile in einer Tabelle, eine Aufgabe in einem Tracker. Ihr eigener Server funktioniert genauso, ganz ohne Plattform dazwischen.
Eine Anmerkung dazu, was sona.to akzeptiert. Das Ziel muss https verwenden und muss eine öffentliche Adresse sein. Eine URL, die auf ein privates Netzwerk zeigt, wird abgelehnt, sowohl beim Speichern als auch erneut zum Zustellzeitpunkt, und Weiterleitungen werden nicht verfolgt. Wenn Sie einen Empfänger im lokalen Netz betreiben, stellen Sie ihn hinter einen öffentlichen Hostnamen oder einen Tunnel.
Webhooks ergänzen die REST API und den MCP-Server als dritten Weg, sona.to von außerhalb des Dashboards zu steuern. Die API ist zum Fragen da, MCP dafür, von einem KI-Assistenten gefragt zu werden, und Webhooks dafür, informiert zu werden. Alle Details, samt einem Beispiel zur Signaturprüfung, stehen in der API-Dokumentation.