Was ist ein Webhook? So funktionieren Webhooks in sona.to

Ein Webhook ist eine Nachricht, die eine App einer anderen in dem Moment schickt, in dem etwas passiert, damit die zweite App nicht ständig nachfragen muss. Sie geben der ersten App eine Adresse, und sie schickt die Details jedes Ereignisses dorthin, sobald es eintritt. Dieser Ratgeber erklärt, wie Webhooks funktionieren, wie Sie prüfen, ob ein Webhook echt ist, und was sona.to sendet, zusammengefasst auch auf der Seite zu Webhooks.

Was ist ein Webhook?

Die meisten Apps tauschen Daten auf zwei Arten aus. Mit einer API fragt Ihr System: „Ist der Beitrag schon veröffentlicht?“, und fragt später erneut, wenn die Antwort Nein lautet. Mit einem Webhook meldet sich die App bei Ihnen: Wenn der Beitrag veröffentlicht ist, schickt sie eine Anfrage mit den Details des Beitrags an eine Adresse, die Sie gewählt haben.

Ein Webhook ist also eine HTTP-Anfrage, meist ein POST mit einem JSON-Body, die an eine URL geht, die Sie kontrollieren. Diese URL kann Ihr eigener Server sein oder eine Webhook-Adresse von n8n, Zapier, Make, Slack oder einem anderen Dienst, der einen Workflow startet, wenn die Anfrage eintrifft.

Webhook oder API

Eine API dient zum Fragen und Ändern: Beiträge auflisten, einen Beitrag erstellen, Zahlen auslesen. Ein Webhook dient dazu, informiert zu werden. Die meisten Integrationen nutzen beides: die API, um einen Beitrag zu erstellen, und einen Webhook, um zu erfahren, wann er veröffentlicht wurde oder fehlgeschlagen ist. Wer eine API immer wieder abfragt, verschwendet Anfragen und erfährt trotzdem spät davon, während ein Webhook ankommt, sobald das Ereignis eintritt.

So prüfen Sie einen Webhook

Jeder, der Ihre Webhook-Adresse kennt, könnte eine gefälschte Anfrage dorthin schicken, deshalb ist ein gut gemachter Webhook signiert. Der Absender berechnet aus dem Body und einem gemeinsamen Geheimnis eine Signatur, meist mit HMAC SHA-256, und setzt sie in einen Header. Ihre Seite berechnet mit demselben Geheimnis dieselbe Signatur und vergleicht beide mit einem zeitkonstanten Vergleich. Weichen sie ab, wird die Anfrage ignoriert.

Ein Zeitstempel in den signierten Daten verhindert außerdem Wiederholungsangriffe: Eine einmal abgefangene Anfrage kann später nicht erneut gesendet werden, weil ihr Zeitstempel zu alt ist.

Webhooks in sona.to

sona.to sendet Webhooks für vier Ereignisse: ein Beitrag wurde veröffentlicht, ein Beitrag ist fehlgeschlagen, ein Website-Audit ist abgeschlossen und ein Website-Audit ist fehlgeschlagen. Sie wählen, welche Ereignisse jeder Webhook empfängt. So kann eine Chat-Benachrichtigung nur auf Fehler reagieren, während eine Reporting-Tabelle alles bekommt. Die Nutzdaten verwenden dieselben Feldnamen wie die API von sona.to.

Einrichten. Fügen Sie auf der API-Seite Ihres Dashboards die Adresse ein, haken Sie die Ereignisse an und speichern Sie. Das Signatur-Geheimnis wird nur in diesem Moment einmal angezeigt, kopieren Sie es also sofort.

Signatur. Jede Zustellung trägt einen Header mit einem Zeitstempel und einem HMAC SHA-256 aus Zeitstempel und Body, erstellt mit Ihrem Geheimnis. Lehnen Sie Anfragen ab, deren Zeitstempel älter als ein paar Minuten ist.

Wiederholungen. Ist Ihre Adresse nicht erreichbar oder gibt sie einen Fehler zurück, wird die Zustellung nach 60 Sekunden, 5 Minuten und 30 Minuten erneut versucht. Jeder Versuch wird mit Statuscode und Dauer protokolliert. Eine Adresse, die dauerhaft fehlschlägt, wird abgeschaltet, und Sie können sie wieder einschalten, sobald sie repariert ist.

Sicherheit. Die Adresse muss https verwenden und auf einen öffentlichen Server zeigen. Adressen in privaten Netzwerken werden beim Speichern und erneut bei der Zustellung abgelehnt, und Weiterleitungen werden nicht verfolgt.

Webhooks mit n8n, Zapier und Make

Die sona.to-Apps für n8n, Zapier und Make haben fertige Trigger für dieselben vier Ereignisse, Sie müssen also selbst keine Adresse einfügen: Fügen Sie den Trigger hinzu, und die App richtet den Webhook ein. Siehe Social-Media-Automatisierung mit n8n, Zapier und Make.

Alle Details, mit einem Beispiel für die Signaturprüfung, stehen in der API-Dokumentation.

Häufige Fragen

Ist ein Webhook dasselbe wie eine API?

Nein. Eine API antwortet, wenn Sie fragen. Ein Webhook schickt Ihnen eine Nachricht, wenn etwas passiert.

Sind die Webhooks von sona.to kostenlos?

Webhooks sind in jedem Tarif enthalten, zusammen mit der API.

Was passiert, wenn mein Server nicht erreichbar ist?

sona.to versucht es innerhalb von etwa einer halben Stunde dreimal erneut. Schlagen die Zustellungen weiter fehl, wird der Webhook abgeschaltet, bis Sie ihn wieder einschalten.