Webhook

Wenn zwei Programme zusammenarbeiten sollen, muss eines dem anderen mitteilen, dass etwas passiert ist. Ein Webhook ist dafür der einfachste Weg: Das auslösende System ruft bei einem Ereignis eine Webadresse des empfangenden Systems auf und übergibt die Details, meist als JSON.

Webhook und API-Abfrage

Deshalb nennt man Webhooks manchmal auch „umgekehrte API": Nicht der Empfänger ruft die Schnittstelle auf, sondern der Sender ruft den Empfänger.

Wie ein Webhook abläuft

1. Im sendenden System wird eine Ziel-URL hinterlegt und festgelegt, bei welchen Ereignissen sie aufgerufen wird.
2. Tritt das Ereignis ein, schickt das System eine HTTP-Anfrage, meist per POST, mit den Ereignisdaten.
3. Der Empfänger prüft die Echtheit, verarbeitet die Daten und antwortet mit einem Statuscode wie 200.
4. Bleibt die Bestätigung aus, versuchen viele Sender es nach einer Wartezeit erneut.

Absicherung

Weil eine Webhook-Adresse grundsätzlich aus dem Internet erreichbar ist, muss der Empfänger prüfen, ob die Nachricht wirklich vom erwarteten Absender stammt:

• Signatur: Der Sender berechnet aus dem Inhalt und einem gemeinsamen Geheimnis eine Signatur (häufig HMAC mit SHA-256) und schickt sie in einer Kopfzeile mit. Der Empfänger rechnet nach.
• Nur HTTPS: damit Inhalte unterwegs nicht mitgelesen werden.
• Zeitstempel: schützt davor, dass alte Nachrichten erneut eingespielt werden.
• Idempotenz: Da Nachrichten wiederholt zugestellt werden können, sollte dieselbe Nachricht zweimal verarbeitet keinen doppelten Effekt haben.

Typische Einsätze im Support

• Ein neues Ticket meldet sich in einem Chat-Werkzeug des Teams.
• Ein Zahlungsanbieter meldet, dass eine Zahlung eingegangen oder fehlgeschlagen ist.
• Ein Shopsystem legt bei einer Retoure automatisch ein Ticket an.
• Ein Monitoring-Werkzeug meldet eine Störung und erzeugt einen Incident.

Ein Beispiel

Ein Onlinehändler möchte, dass jede Retourenanmeldung im Shop als Ticket erscheint. Der Shop schickt bei jeder Retoure einen Webhook mit Bestellnummer, Kundin und Grund an das Ticketsystem. Dort wird ein Ticket angelegt und per Routing dem Retourenteam zugewiesen – ohne dass jemand Daten abtippt.

Fehlersuche

Bleibt ein Webhook scheinbar aus, hilft ein Blick in das Zustellprotokoll des Senders, sofern es eines gibt: Dort steht, welcher Statuscode zurückkam. Häufige Ursachen sind eine geänderte Ziel-URL, eine abgelaufene Signatur-Prüfung nach Wechsel des Geheimnisses oder ein Empfänger, der zu lange für die Antwort braucht. Empfänger sollten deshalb schnell bestätigen und die eigentliche Verarbeitung im Hintergrund erledigen.

Für Tests eignen sich spezielle Testadressen, die eingehende Anfragen anzeigen, bevor die echte Verarbeitung angeschlossen wird. So lässt sich in Ruhe prüfen, welche Daten tatsächlich ankommen und in welchem Format.

So hilft rapidFOX

rapidFOX bietet bewusst keine offene Schnittstelle und keine frei konfigurierbaren Webhooks für Fremdsysteme. Anfragen kommen über E-Mail, das einbettbare Kontaktformular und den Live-Chat herein, Daten lassen sich exportieren. Was angebunden ist und was nicht, steht offen auf der Seite Integrationen.