Intégration webhook
Quand un webhook se déclenche
À chaque événement auquel un canal webhook est rattaché : un moniteur qui tombe en panne, qui se rétablit, un certificat SSL qui entre dans sa fenêtre d'avertissement, ou une vérification heartbeat qui devient en retard ou se rétablit. Chaque requête est un unique corps JSON en POST décrivant exactement un événement.
Vérifier la signature
Chaque requête porte un en-tête X-Dumza-Signature — un condensé hexadécimal HMAC-SHA256 du corps brut de la requête, signé avec le secret propre au canal (visible une fois à la création du canal, et à nouveau chaque fois que tu le régénères). Recalcule le même HMAC sur les octets exacts que tu as reçus et compare-le à l'en-tête pour confirmer que la requête provient bien de Dumza et n'a pas été altérée en transit.
Régénérer le secret
Si le secret d'un webhook venait à fuiter, régénère-le depuis les réglages du canal — l'URL et le canal continuent de fonctionner, seule la clé de signature change, donc mets à jour au même moment tout ce que tu utilises pour vérifier les signatures de ton côté.