Webhook'lar

Webhook, EnaFeedback'te bir talep (ticket) yönlendirildiğinde veya durumu değiştiğinde, belirlediğiniz adrese otomatik bir HTTP isteği gönderir. Böylece kendi iş takip sisteminiz, bilgi ekranınız veya iç uygulamanız talepteki değişiklikten anında haberdar olur.

Bu makale webhook'u kurmayı, gönderilen olayları ve gelen isteğin gerçekten EnaFeedback'ten geldiğini imza ile doğrulamayı anlatır.

Gerekli yetkiBağlantıyı kopyala

Webhook ayarı Sistem yönetimi → Entegrasyonlar alanındadır ve yalnızca Sahip rolü tarafından yapılabilir.

Gönderilen olaylarBağlantıyı kopyala

Bugün gönderilen iş olayları ikidir:

Ayrıca ayarlar sayfasından gönderebileceğiniz bir system.test olayı vardır.

Teslim davranışıBağlantıyı kopyala

• Kurum başına tek bir webhook adresi tanımlanır.
• İstek, gövdesi JSON olan bir POST isteğidir.
• Her olay tek denemede gönderilir; başarısız istekler yeniden denenmez.
• İsteklerde bir Idempotency-Key başlığı bulunur. Aynı olayı iki kez işlememek için bu değeri saklayın.
• İmzalama sırrı tanımladıysanız, gövdenin HMAC-SHA256 imzası X-Ena-Signature başlığında gönderilir.
• Hedef adres, iç ağ adreslerine istek yapılmasını önleyen bir güvenlik denetiminden (SSRF koruması) geçer.
• Olay bazında abonelik yoktur; adres tanımlandığında yukarıdaki olayların hepsi gönderilir.

Webhook'u kurmaBağlantıyı kopyala

İmzayı doğrulamaBağlantıyı kopyala

İmza, ham istek gövdesinin imzalama sırrıyla hesaplanan HMAC-SHA256 değeridir. Gövdeyi JSON olarak ayrıştırıp yeniden yazmadan, geldiği haliyle kullanın ve karşılaştırmayı sabit zamanlı yapın.

Aşağıdaki örnekler imzanın onaltılık (hex) metin olarak gönderildiğini varsayar. Canlıya almadan önce test olayıyla gelen başlığın biçimini kontrol edin.

import crypto from 'node:crypto';
import express from 'express';

const app = express();
const SECRET = process.env.ENA_WEBHOOK_SECRET;

app.post('/ena-webhook', express.raw({ type: 'application/json' }), (req, res) => {
  const received = req.get('X-Ena-Signature') ?? '';
  const expected = crypto.createHmac('sha256', SECRET).update(req.body).digest('hex');

  const ok =
    received.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(received), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const idempotencyKey = req.get('Idempotency-Key');
  // idempotencyKey daha önce işlendiyse olayı atlayın.
  const event = JSON.parse(req.body.toString('utf8'));
  // event'i işleyin…
  res.status(200).end();
});

İpuçlarıBağlantıyı kopyala

• Yeniden deneme olmadığı için uç noktanızı hızlı yanıt verecek şekilde tasarlayın: isteği kaydedip hemen 200 dönün, ağır işleri arka planda yapın.
• Kaçırılan bir olay olursa talebin güncel durumunu yönetim panelinden kontrol edin.
• İmzalama sırrını değiştirdiğinizde alıcı sistemdeki değeri de aynı anda güncelleyin.

SınırlarBağlantıyı kopyala

• Herkese açık bir REST API veya API anahtarı yoktur; webhook dışarıya veri aktaran tek entegrasyon noktasıdır.
• n8n, Make veya Zapier için hazır bağlayıcı yoktur.
• Olay bazında abonelik ve yeniden deneme yoktur.

İlgili makalelerBağlantıyı kopyala

• Bildirim kanalları
• Uyarı kuralları
• Sistem ayarları
• Talep yaşam döngüsü