Webhooks

Un webhook envía una petición POST JSON firmada a la URL que elijas en cada evento: publicación publicada, fallo, nuevo mensaje… Los webhooks se gestionan en Réglages › Webhooks (Ajustes › Webhooks; sección Développeurs, Desarrolladores), reservado a los Super admins. Hasta 20 webhooks por espacio de trabajo.

Crear un webhook

Los eventos

post.published y post.failed están marcados por defecto.

La petición enviada

Cabeceras:

Content-Type: application/json
User-Agent: Klickbee-Webhooks/1.0
X-Klickbee-Event: post.published
X-Klickbee-Signature: sha256=5d41402abc4b2a76b9719d911017c592…

Cuerpo para un evento de publicación:

{
  "event": "post.published",
  "timestamp": "2026-10-12T09:00:03.120Z",
  "post": {
    "id": "…",
    "platform": "LINKEDIN",
    "status": "PUBLISHED",
    "body": "Nuestra nueva guía ya está disponible.",
    "scheduledAt": "2026-10-12T09:00:00.000Z",
    "publishedAt": "2026-10-12T09:00:03.000Z",
    "permalink": "https://www.linkedin.com/feed/update/…",
    "errorMessage": null,
    "brandId": "…",
    "contentId": "…"
  }
}

message.received contiene un objeto message (conversación, red, cuenta, remitente, texto, archivos adjuntos, fecha) y comment.received un objeto comment (autor, texto, publicación correspondiente y su enlace, comentario padre si lo hay).

Verificar la firma

Cada webhook tiene un secreto de firma (whsec_…), visible con Secret (Secreto). La cabecera X-Klickbee-Signature vale sha256= seguido del HMAC-SHA256 del cuerpo bruto de la petición, en hexadecimal, calculado con ese secreto. Recalcúlalo antes de confiar en el contenido:

import crypto from 'node:crypto';

function isValid(rawBody, signatureHeader, secret) {
  const expected =
    'sha256=' + crypto.createHmac('sha256', secret).update(rawBody).digest('hex');
  const a = Buffer.from(expected);
  const b = Buffer.from(signatureHeader ?? '');
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

Calcula la firma sobre el cuerpo tal como se recibe, antes de JSON.parse. Guarda el secreto en el servidor. Régénérer le secret (Regenerar el secreto) invalida inmediatamente el anterior: actualiza tu receptor enseguida.

Reglas de entrega

• Solo URL con https://; las direcciones privadas o locales se rechazan.
• Tu servidor debe responder en menos de 5 segundos; las redirecciones no se siguen.
• Cada evento se envía una sola vez, sin reintento si tu servidor no responde. La lista muestra el resultado del último envío (HTTP 200 · …, Injoignable (Inaccesible)…).

Desmarca Actif (Activo) para suspender un webhook sin eliminarlo.