До сих пор, чтобы узнать, вышла ли публикация, приходилось спрашивать. Вы вызывали API, проверяли статус и вызывали снова позже. Это работает, но это опрос: либо вы спрашиваете слишком часто и тратите запросы, либо слишком редко и узнаёте с опозданием. Вебхуки переворачивают логику. Вы даёте sona.to адрес, и sona.to сам обращается к вам в момент, когда что-то происходит. Они доступны уже сейчас на всех тарифах.
Подписаться можно на четыре события, и они покрывают исходы, на которые стоит реагировать: публикация вышла, публикация не удалась, аудит сайта завершён и аудит сайта не удался. Вы выбираете, какие из них получает каждый вебхук, так что уведомление в Slack может слушать только сбои, пока система отчётности получает всё. Полезная нагрузка использует те же имена полей, что возвращает REST API, поэтому то, что вы уже разбираете из GET-запроса, продолжает работать без изменений.
Настройка занимает минуту. Откройте страницу API в панели управления, вставьте адрес, который выдал ваш инструмент, отметьте нужные события и сохраните. Ключ подписи показывается в этот момент один раз. Скопируйте его сразу, потому что снова его не покажут.
Именно по этому ключу вы понимаете, что запрос настоящий. Каждая доставка несёт заголовок подписи с меткой времени и HMAC SHA-256 от этой метки и тела запроса, вычисленным с вашим ключом. Вычислите его заново на своей стороне и сравните оба значения функцией постоянного времени. Поскольку метка времени входит в подписываемые данные, перехваченный запрос нельзя воспроизвести против вас позже. Отклоняйте всё старше нескольких минут, и этого достаточно.
Доставка не сдаётся при первой же проблеме. Если ваша точка приёма недоступна или возвращает ошибку, запрос повторяется через 60 секунд, затем через 5 минут, затем через 30 минут. Каждая попытка записывается с кодом статуса и длительностью, поэтому капризную точку приёма можно изучить, а не гадать о ней. Точка приёма, которая продолжает давать сбой, отключается автоматически, и вы можете включить её снова после исправления.
Очевидное место, куда её направить, это платформа автоматизации. Zapier, Make и n8n выдают адрес вебхука для вставки, а событие приходит в формате JSON, готовое к передаче дальше: сообщение в канал, строка в таблицу, задача в трекер. Ваш собственный сервер работает точно так же, без платформы посередине.
Замечание о том, что принимает sona.to. Адрес назначения должен использовать https и должен быть публичным. Адрес, ведущий в частную сеть, отклоняется и при сохранении, и повторно в момент доставки, а перенаправления не выполняются. Если вы держите приёмник в локальной сети, поставьте его за публичным именем хоста или туннелем.
Вебхуки дополняют REST API и сервер MCP как третий способ управлять sona.to извне панели. API нужен, чтобы спрашивать, MCP чтобы вас спрашивал ИИ-ассистент, а вебхуки чтобы вам сообщали. Все подробности, включая пример проверки подписи, есть в документации API.