Webhooks

Webhooks sind optionale signierte Benachrichtigungen an Ihren HTTPS-Empfänger. Statusabfragen bleiben verfügbar; für die API-Nutzung ist kein Webhook erforderlich.

Mein API-Konto

Aktivieren Sie den Empfänger im API-Konto. Öffentliches HTTPS/443 ist erforderlich; Weiterleitungen, Abfrageparameter und URL-Zugangsdaten werden nicht unterstützt. URL-, Aktivierungs- oder Schlüsseländerungen verwerfen alte ausstehende Ereignisse. Historische Vorgänge werden nicht nachgeliefert.

Nur unterstützte neue API-Vorgänge werden beobachtet, nicht jede HTTP-Antwort oder Websitebestellung. Nachrichten enthalten sichere Kennungen und Status, nie API-Schlüssel oder Proxypasswörter. timestamp ist die lokale UTC-Beobachtung; der Minuten-Worker kann verzögern.

Ereignistypen

Typ	Status
`webhook.test`	`test`
`order.accepted`	`accepted`
`order.delivered`	`delivered`
`order.action_required`	`action_required`
`order.canceled`	`canceled`
`renewal.completed`	`completed`
`extra_login.operation.completed`	`completed`
`extra_login.operation.rejected`	`rejected`
`extra_login.operation.action_required`	`action_required`
`proxy_ip.operation.completed`	`completed`
`proxy_ip.operation.rejected`	`rejected`
`proxy_ip.operation.action_required`	`action_required`
`proxy_ip.authorization.revoked`	`revoked`
`residential_list.operation.completed`	`completed`
`residential_list.operation.rejected`	`rejected`
`residential_list.operation.action_required`	`action_required`
`auto_renewal.configuration.completed`	`completed`

application/json

{
    "id": "evt_0123456789abcdef0123456789abcdef",
    "type": "order.delivered",
    "timestamp": "2026-10-26T12:00:00+00:00",
    "api_version": "1",
    "data": {
        "account_id": 12345,
        "order_id": 12345,
        "number": "1000012345",
        "product": "proxy",
        "state": "delivered",
        "quantity": 1,
        "mode": null,
        "gb": null,
        "reason_code": null,
        "provider_live_check": false
    }
}

Signaturprüfung

Prüfen Sie webhook-id, webhook-timestamp und webhook-signature mit dem separaten Webhook-Schlüssel. Entfernen Sie whsec_, dekodieren Sie Base64, signieren Sie die unveränderte Rohdatenstruktur mit HMAC-SHA256 und vergleichen Sie zeitkonstant. Zeitstempeltoleranz: 300 Sekunden.

HMAC-SHA256

signed_content = webhook_id + "." + webhook_timestamp + "." + raw_body
webhook_signature = "v1," + Base64(HMAC_SHA256(decoded_secret, signed_content))

Zustellung & Wiederholungen

Verarbeiten Sie jede Ereignis-ID idempotent. Zustellung kann sich wiederholen und ungeordnet eintreffen. Antworten Sie nach Annahme mit 2xx. Höchstens 7 Versuche mit 1 Min., 5 Min., 30 Min., 2 Std., 6 Std. und 24 Std. Abstand. Nur die Nachricht wird wiederholt, nie der Geschäftsvorgang.

HTTP 2xx bestätigt die Zustellung. 408/429/5xx und vorübergehende Netzfehler können wiederholt werden; andere 4xx und Weiterleitungen scheitern dauerhaft. Wiederholungen behalten ID und Inhalt, aber erhalten einen neuen Signaturzeitpunkt.