So funktioniert es
Verwalte Ziele unter Organisation → Webhooks mit einem Administrator-User-Token; Sandbox-Entwickler dürfen ihre Sandbox verwalten. Konfiguration und Secrets sind je Umgebung getrennt. Sandbox-Ziele senden echte HTTPS-Anfragen an deinen Testempfänger. Integration-API-Keys dürfen keine Webhook-Ziele verwalten.
Ereignisse: run.started, gate.activated, gate.approved, gate.rejected, acknowledgment.requested, acknowledgment.completed, notification.created, notification.delivered, notification.failed, run.approved, run.rejected, run.completed, run.expired. Payloads enthalten id, type, apiVersion, createdAt, sequence, organizationId, environment und data.run/data.gate/data.notification/data.outcome. Der Prozess enthält id, referenceId, flowId und flowVersionId. Anfragefelder und Kommentare werden nicht eingebettet; Details liest du über die Run-API.
Prüfe Flowg8-Signature: t=<Unix-Sekunden>,v1=<HMAC-SHA256 hex> über Zeitstempel + "." + unveränderten HTTP-Rohbody mit deinem fg_whsec_-Secret. Das SDK exportiert verifyWebhookSignature(rawBody, header, secret) mit fünf Minuten Zeitfenster. Ein erneuter Versuch verwendet einen frischen Signaturzeitstempel und dieselbe Ereignis-ID und Payload. Dedupliziere anhand event.id, berücksichtige unterschiedliche Zustellreihenfolgen, antworte zügig mit 2xx und verarbeite asynchron.
Zustellung erfolgt mindestens einmal mit bis zu zehn automatischen Versuchen innerhalb von 72 Stunden. Nur öffentliche HTTPS-Ziele auf Port 443; private Adressen und Weiterleitungen werden abgewiesen. Versandhistorie: bis zu 30 Tage, begrenzt durch die Sandbox-Aufbewahrung. Pausieren verhindert neue Nachrichten und hält wartende Zustellungen an; eine URL-Änderung bricht wartende Zustellungen ab, statt alte Ereignisse umzuleiten.
Grundlagen des Aufrufs
- Authorization
- Bearer $FLOWG8_ACCESS_TOKEN
- X-Organization-Id
- Deine Workspace-UUID