Configurer des webhooks de témoignages sortants
Connectez un point de terminaison de réception et comprenez les formats actuels de livraison de tests et de collectes.
Mis à jour
Tableau de bord Socialjuice actuel avec des données d’exemple. Les libellés suivent la langue de votre tableau de bord.
Sur cette page
Préparer un point de terminaison de réception
Les webhooks envoient des informations sur les nouveaux témoignages provenant des itinéraires de création pris en charge vers un autre service. Vous avez besoin d'un plan avec des webhooks, de l'autorisation de modifier l'espace et d'un récepteur HTTPS accessible au public. L'hôte local, les noms d'hôtes locaux et les adresses de réseau privé ne sont pas pris en charge par la validation d'URL du tableau de bord.
Pour Zapier ou Make, créez d'abord un déclencheur de webhook de réception et copiez son URL HTTPS. Ne connectez pas une automatisation orientée client avant d'avoir vérifié la charge utile réelle et les en-têtes d'authentification qu'elle recevra.
Enregistrez et testez la connexion
- Ouvrez les Webhooks dans la barre latérale. Il ouvre les paramètres de l'espace de travail → Avancé.
- Entrez l'URL du webhook et choisissez Enregistrer les paramètres du webhook. Stockez le secret de signature généré en toute sécurité sur votre serveur de réception. Ne le mettez jamais dans le code du navigateur, les captures d'écran ou les journaux publics.
- Choisissez Envoyer un événement de test. Le tableau de bord envoie un événement webhook.test signé. Vérifiez que le récepteur renvoie une réponse 2xx.
- Inspectez la demande avant de mapper les champs. Un test de tableau de bord réussi vérifie cette demande de test signée ; les livraisons sous forme de collecte utilisent actuellement un format différent, décrit ci-dessous.
Comprendre les deux formats de livraison actuels
Les événements de test du tableau de bord utilisent une enveloppe signée HMAC avec des champs d'identifiant, de type, de création et de données. Les en-têtes incluent Socialjuice-Event, Socialjuice-Delivery, Socialjuice-Timestamp et Socialjuice-Signature. Un événement de création signé utilise testimonial.created ; le test du tableau de bord utilise webhook.test.
Le service de collecte actuel envoie le secret configuré dans X-Webhook-Secret via HTTPS. Il ne joint pas les en-têtes HMAC ni l'enveloppe signée. Les charges utiles de collection peuvent contenir des champs de témoignage directement ou dans un objet de témoignage, selon le chemin de collecte. Inspectez une demande réelle avant de mapper le nom, l’e-mail, uuid et le contenu du témoignage. Ne présumez pas que la charge utile du test du tableau de bord correspond à une collection réelle.
Authentifier et gérer les deux formats
Pour les demandes signées, vérifiez HMAC SHA-256 sur <timestamp>.<raw_request_body>, comparez le résumé en temps constant et rejetez les horodatages obsolètes. Pour les demandes de collecte, comparez X-Webhook-Secret avec le secret configuré sur votre serveur. Rejetez une demande qui ne réussit pas l'authentification requise pour son format.
Le format de secret partagé ne fournit pas la protection contre la relecture par horodatage et par ID de livraison des événements signés. Dédoublonnez les demandes de collecte avec le témoignage uuid dans le contexte de l'espace correct lorsqu'il est disponible. Pour les événements signés, utilisez Socialjuice-Delivery ou l'identifiant de l'enveloppe. Transmettez uniquement les champs client dont votre flux de travail en aval a besoin.
Limites de livraison et dépannage
Renvoyez rapidement une réponse 2xx. L'expéditeur du tableau de bord signé effectue jusqu'à trois tentatives au total, avec un délai d'attente de 10 secondes par tentative. L'expéditeur actuel de la collection effectue une seule demande sans cette boucle de nouvelle tentative. Ne présumez pas que les tentatives signées de l’expéditeur s’appliquent aux livraisons sous forme de collecte.
Si l'outil de réception ne parvient pas à valider l'en-tête requis, mettez une étape de vérification sur votre propre serveur avant de déclencher des actions sensibles. Un webhook indique une création, et non un nouvel accord de consentement à la publication. Examinez séparément la visibilité publique et le consentement.
Faire pivoter ou désactiver la connexion
Si le secret est révélé, utilisez Rotate secret et mettez immédiatement à jour tous les récepteurs. Cela modifie le secret utilisé par les deux formats de diffusion. Pour désactiver la livraison, effacez l'URL du Webhook et enregistrez. Gardez l'ancien secret hors des journaux publics et des captures d'écran.