L'anàlisi de les sol·licituds de webhook és una tasca fonamental per a desenvolupadors d'API, enginyers d'integració, representants de servei al client i mantenidors d'automatitzacions. Quan un sistema extern envia una notificació, capturar i examinar l'estructura exacta d'aquesta petició permet diagnosticar problemes de format, verificar la presència de capçaleres de seguretat i recrear la sol·licitud en un entorn de desenvolupament local.
L'eina Inspector de sol·licituds webhook facilita aquest procés permetent enganxar el mètode, les capçaleres i el cos en brut d'una sol·licitud capturada. A partir d'aquestes dades, l'eina analitza el format, identifica capçaleres clau i genera una ordre cURL a punt per ser utilitzada en proves locals.
Funcionament i processament de les dades
El funcionament de l'eina es basa completament en l'execució local. La vostra sol·licitud enganxada roman al vostre navegador. BroBroGo no el carrega ni el desa. Això garanteix que les dades de la sol·licitud, que sovint contenen identificadors o estructures internes, es processin exclusivament en l'àmbit del client sense viatjar a servidors externs.
L'eina requereix la introducció manual de les dades capturades per dur a terme la inspecció. Un cop introduïdes, l'usuari pot interactuar amb les opcions de la interfície per analitzar l'estructura o restablir els camps.
Paràmetres d'entrada i límits del sistema
Per utilitzar l'inspector, s'han de definir tres components principals de la sol·licitud HTTP capturada:
- Mètode: S'ha de seleccionar d'una llista que inclou els mètodes HTTP estàndard: POST, PUT, PATCH, GET i DELETE.
- Capçaleres: S'han d'introduir a l'àrea de text corresponent, col·locant una capçalera per línia en format Nom: valor. El sistema admet un màxim de 200 línies de capçalera no buides i un límit de text de 100.000 caràcters.
- Cos: S'ha d'enganxar el cos en brut exacte capturat abans de qualsevol anàlisi del costat del servidor. El límit màxim per al cos és d'1.000.000 de caràcters.
L'eina valida les dades en temps real i pot mostrar diversos missatges d'error si no es compleixen els requisits de format o de mida:
- Si s'intenta realitzar l'anàlisi sense dades: "Enganxeu primer almenys una capçalera o un cos de sol·licitud."
- Si es supera el límit de caràcters de les capçaleres: "Les capçaleres són massa llargues per a aquesta eina. Elimina els valors no relacionats o repetits."
- Si es supera el límit de caràcters del cos: "El cos és massa llarg per a aquesta eina. Manteniu-lo per menys de 1.000.000 de caràcters."
- Si es supera el nombre de línies de capçalera: "Hi ha massa línies de capçalera. Mantingueu la sol·licitud a 200 capçaleres o menys."
- Si una línia de capçalera no segueix l'estructura requerida: "
‹line›: La línia de capçalera no és vàlida. Nom d'ús: valor."
Anàlisi i format del cos del webhook
El contingut del cos d'un webhook sol variar segons la plataforma emissora, sent els formats més comuns JSON i les dades de formulari codificades per URL (URL-encoded). L'eina detecta automàticament aquests dos formats per presentar-los de manera estructurada a la secció de sortida.
Quan es detecta un cos JSON, l'eina utilitza la funció JSON.parse per processar-lo i posteriorment reordenar-lo. Aquest procés comporta la pèrdua de l'espaiat en blanc original i de la disposició inicial dels camps, oferint a canvi una visualització neta i indentada. Si el cos té una estructura que s'assembla a JSON però conté errors de sintaxi que impedeixen la seva lectura, es mostrarà l'error: "El cos sembla JSON però no s'ha pogut analitzar.".
En el cas de cossos de formulari codificats per URL, si es detecta una seqüència d'escapament de percentatge incorrecta o incompleta, l'eina retornarà l'error: "El cos del formulari conté un percentatge d'escapada incomplet.". Qualsevol altre tipus de cos que no sigui JSON o URL-encoded es mantindrà i es mostrarà com a text senzill. Si la sol·licitud no inclou cap contingut al cos, la sortida mostrarà el text "(cos buit)".
Identificació de signatures i marques de temps
La seguretat en la comunicació per webhooks es basa habitualment en l'ús de capçaleres que contenen signatures criptogràfiques o marques de temps per evitar atacs de replicació. L'inspector cerca de manera automàtica patrons de noms comuns a les capçaleres introduïdes, com ara signature, hmac, digest i denominacions habituals de marques de temps (timestamps).
Si es troben coincidències, es llistaran a la secció de sortida. En cas contrari, es mostrarà el missatge: "No s'ha trobat cap capçalera de signatura comuna ni de marca de temps del webhook.".
Cal tenir en compte que la identificació d'aquests camps té una finalitat purament informativa. Trobar un camp de signatura no demostra que la petició sigui autèntica; la verificació real requereix les regles de signatura de l'emissor, el secret o clau, i els bytes originals de la petició. L'eina no calcula codis HMAC, no executa algorismes de xifrat, no valida els bytes originals del payload, no gestiona claus secretes ni verifica finestres de temps de reproducció o regles específiques de proveïdors.
Generació de comandes cURL per a proves locals
Una de les utilitats pràctiques de l'inspector és la generació d'una comanda cURL a partir de la sol·licitud analitzada. Aquesta comanda s'estructura amb les cometes adequades per al seu ús en línia d'ordres (shell-quoted) i inclou el mètode, les capçaleres i el cos proporcionats.
La comanda generada està configurada de manera fixa per apuntar a l'adreça de desenvolupament local:
http://localhost:3000/webhooks
Això permet copiar l'ordre directament i executar-la en una terminal local per enviar la mateixa sol·licitud de webhook cap a una aplicació en fase de desenvolupament que s'estigui executant en aquest port.
Preguntes freqüents
Aquesta pàgina pot rebre una devolució de trucada webhook en directe?
No. Enganxeu una sol·licitud capturada aquí per a la inspecció. La pàgina no crea un punt final públic, no rep devolucions de trucada ni envia la sol·licitud de prova generada.
Quins formats de cos del webhook puc inspeccionar?
JSON i cossos de formularis codificats per URL es detecten i es formen. Altres cossos es mantenen com a text senzill, de manera que l'eina no endevina contingut XML, multipart o binari.
Trobar un camp de signatura demostra que la sol·licitud és autèntica?
No. L'eina només mostra les capçaleres de signatura i marca de temps relacionades. La verificació real necessita les regles de signatura exactes del remitent, la clau secreta o pública i els bytes de sol·licitud originals.