Секрет подписи

Секрет нужен получателю, чтобы проверить подлинность и целостность запроса. У каждого вебхука проекта свой секрет. Он не является API-ключом и не предоставляет доступ к MCP или действиям в проекте.

Получение секрета

Откройте вебхук и выберите вкладку «Секрет подписи». На странице секрета:

• Кнопка с глазом позволяет показать или скрыть значение.
• Кнопка копирования позволяет скопировать секрет для настройки сервера получателя.

Храните его только на сервере получателя. Не вставляйте в код страницы, чат или открытые логи.

Проверка запроса

Senler отправляет POST с JSON и заголовками:

• Content-Type: application/json;
• X-Project-Id: ID проекта;
• X-Webhook-Event-Id: ID события, совпадающий с event_id в теле;
• X-Webhook-Timestamp: время текущей попытки, совпадающее с timestamp в теле;
• X-Webhook-Signature: HMAC-SHA256 в hex.

Заголовка X-App-Id у вебхука проекта нет. Для подписи используется секрет именно этого получателя и строка v1.timestamp.event_id.canonicalJson(payload), где значения timestamp и event_id берутся из тела запроса. canonicalJson рекурсивно сортирует ключи объектов, сохраняет порядок массивов и не добавляет пробелы.

Используйте пример проверки подписи. Для вебхука проекта вместо Client ID приложения проверяйте X-Project-Id и project_id тела по своему разрешённому проекту. Проверяйте также совпадение ID и времени в заголовках и теле, свежесть времени, подпись и допустимый тип события.

Тело содержит event_id, event_type, timestamp, project_id, channel_id, channel_type, lead_id, dialog_id, platform_user_id и data. Не относящиеся к событию идентификаторы могут быть null; содержимое data зависит от события. Например, у message_new текст находится в data.content.

Повторные попытки сохраняют event_id, но время и подпись меняются. Сохраняйте обработанные ID и не выполняйте одно действие повторно. Возвращайте 2xx после надёжного приёма события, в том числе если оно уже было принято.

Замена секрета

• Нажмите «Заменить секрет».
• В окне подтверждения нажмите «Заменить секрет».
• Сразу обновите значение на сервере получателя и отправьте тест.

Новые запросы будут подписываться новым секретом. Замена относится только к выбранному вебхуку и не меняет секреты других получателей.