Passer au contenu principal
Les webhooks permettent à la plateforme d’envoyer en temps réel des notifications d’événements vers un système de votre choix. Chaque fois qu’un événement pertinent se produit, par exemple un utilisateur qui clique sur un lien de simulation ou qui signale une simulation, nous envoyons une requête HTTP POST contenant des données structurées vers une URL que vous configurez. Cela vous permet d’intégrer la plateforme à vos propres outils, comme un SIEM, un système RH, un outil de ticketing ou un tableau de bord maison, sans interroger une API en boucle.

​
Événements pris en charge

Tous ces événements sont envoyés à votre endpoint. Vous ne pouvez pas vous abonner à une partie d’entre eux seulement.
Seule la première occurrence d’un événement est envoyée. Si un utilisateur clique deux fois sur la même simulation, vous recevez un seul événement phishing.clicked. Les événements de robots ne sont jamais envoyés.

​
Avant de commencer

Il vous faut :
  • Un accès à la plateforme avec le rôle Administrator ou Partner
  • Un endpoint HTTPS accessible publiquement, capable de recevoir des requêtes POST
Les endpoints sans TLS ne sont pas pris en charge. L’URL doit être en https://.

​
Ajouter un webhook

1

Ouvrez les paramètres des webhooks

Allez dans Settings, puis Integrations, puis Webhooks.
2

Ajoutez le webhook

Cliquez sur Add webhook et saisissez l’URL de votre endpoint. Ce doit être une URL https:// valide et accessible publiquement.
3

Confirmez

Cliquez sur Add webhook pour enregistrer.
4

Copiez la clé de signature

Une clé de signature s’affiche. Copiez-la immédiatement, puis cliquez sur I’ve copied the secret.
La clé de signature n’est affichée qu’une seule fois et ne peut pas être récupérée par la suite. Conservez-la en lieu sûr avant de fermer la fenêtre.
Pour tester l’intégration, envoyez un e-mail de test sous Emails puis Tests, et interagissez avec.

​
Contenu de l’événement

Les événements sont livrés en JSON dans le corps d’une requête HTTP POST. Exemple de contenu :

​
Vérifier l’authenticité

Chaque requête contient un en-tête X-Signature. Il s’agit d’une signature HMAC-SHA256 calculée sur le corps brut de la requête, avec votre clé de signature comme clé.
1

Lisez le corps brut

Prenez le corps brut de la requête, avant d’analyser le JSON.
2

Calculez la signature

Calculez le HMAC-SHA256 sur le corps brut avec votre clé de signature.
3

Comparez

Comparez votre résultat à la valeur de l’en-tête X-Signature.
4

Acceptez ou rejetez

S’ils correspondent, la requête est authentique et vous pouvez la traiter. Sinon, rejetez-la avec une réponse 401.
Utilisez toujours une fonction de comparaison à temps constant. Une simple comparaison de chaînes laisse fuir de l’information par son temps d’exécution et peut servir à falsifier une signature.

​
Nouvelles tentatives

Si votre endpoint ne renvoie pas de réponse HTTP 2xx dans les 10 secondes, la livraison est réessayée automatiquement. Après 5 tentatives infructueuses, la livraison est marquée Failed.

​
Supprimer un webhook

1

Ouvrez les paramètres des webhooks

Allez dans Settings, puis Integrations, puis Webhooks.
2

Supprimez-le

Cliquez sur Delete webhook, puis confirmez dans la fenêtre.
Supprimer un webhook met fin à toutes les livraisons futures. Les événements qui surviennent alors qu’aucun webhook n’est actif ne sont pas mis en file d’attente et ne sont pas livrés rétroactivement.

​
Résolution des problèmes

Pour tout ce qui n’est pas repris ici, contactez support@outkept.com en indiquant le nom de votre organisation et l’URL de votre endpoint.