Der Webhook-Anforderungsinspektor ist ein spezialisiertes Werkzeug zur Analyse und Strukturprüfung von Webhook-Anfragen. API-Entwickler, Integrationsingenieure, Kundendienstmitarbeiter und Automatisierungsverantwortliche nutzen dieses Tool, um das genaue Format erfasster Webhook-Daten zu verstehen und lokale Testumgebungen vorzubereiten.
Funktionsweise und Struktur von Webhook-Anfragen
Webhooks übertragen Ereignisdaten über HTTP-Anfragen von einem Quellsystem an ein Zielsystem. Um diese Kommunikation fehlerfrei zu verarbeiten, müssen die HTTP-Methode, die Header-Felder und der übertragene Datenkörper (Body) exakt aufeinander abgestimmt sein.
Der Webhook-Anforderungsinspektor ermöglicht es, diese drei Komponenten einer erfassten Anfrage einzufügen und zu analysieren. Das Werkzeug verarbeitet die Eingaben direkt im Browser des Nutzers. Es findet keine Übertragung oder Speicherung der Daten auf den Servern von BroBroGo statt.
Eingabeparameter und Grenzwerte
Für eine erfolgreiche Analyse müssen die Eingaben bestimmten strukturellen Regeln und Grenzwerten entsprechen:
- Methode: Die HTTP-Methode der Webhook-Anfrage wird aus einer vordefinierten Liste ausgewählt. Unterstützt werden die Methoden POST, PUT, PATCH, GET und DELETE.
- Header: Die HTTP-Header werden im Format „Name: value“ eingegeben, wobei genau ein Header pro Zeile zulässig ist. Das Tool verarbeitet maximal 200 nicht-leere Header-Zeilen und eine Gesamtlänge von höchstens 100.000 Zeichen.
- Körper: Hier wird der exakte Rohkörper der Anfrage eingefügt, wie er vor jeglicher serverseitigen Verarbeitung oder Analyse erfasst wurde. Die maximale Länge für den Körper beträgt 1.000.000 Zeichen.
Verarbeitung von Webhook-Körpern und Formaten
Webhooks übertragen ihre Nutzdaten in unterschiedlichen Formaten, am häufigsten als JSON oder als URL-codierte Formulardaten (URL-encoded form data). Der Webhook-Anforderungsinspektor erkennt diese beiden Formate automatisch und bereitet sie visuell auf. Andere Inhaltstypen verbleiben unverändert als Klartext.
Bei der Verarbeitung von JSON-Daten nutzt das Werkzeug die Funktion JSON.parse. Dies führt dazu, dass die ursprünglichen Leerzeichen, Zeilenumbrüche und die Reihenfolge der Felder im formatierten Text nicht erhalten bleiben, sondern standardisiert neu geordnet werden.
Für die fehlerfreie Verarbeitung ist die Erfassung des exakten Rohkörpers entscheidend. Wenn beim Kopieren oder Übertragen der Daten Fehler entstehen, gibt das Tool spezifische Fehlermeldungen aus:
- Wenn ein JSON-Körper syntaktische Fehler aufweist, erscheint die Meldung: „Der Text sieht aus wie JSON, konnte aber nicht geparst werden.“
- Bei unvollständigen Prozent-Codierungen in URL-codierten Formulardaten wird die Fehlermeldung „Der Formularkörper enthält ein unvollständiges Prozent-Escape.“ ausgegeben.
Die Rolle von Headern und Signaturen
Header-Zeilen enthalten wichtige Metadaten über die Webhook-Übertragung, wie den Inhaltstyp oder Autorisierungsinformationen. Eine besondere Rolle spielen dabei Sicherheits-Header, die kryptografische Signaturen oder Zeitstempel (Timestamps) enthalten.
Der Webhook-Anforderungsinspektor sucht in den eingegebenen Headern nach bekannten Namensmustern, die auf Signaturen oder Zeitstempel hinweisen. Dazu gehören Zeichenketten wie signature, hmac, digest sowie typische Bezeichnungen für Zeitstempel. Werden solche Felder identifiziert, listet das Tool sie im Bereich „Signaturfelder“ auf. Wird kein entsprechendes Feld gefunden, erscheint die Meldung: „Es wurde keine gemeinsame Signatur oder kein Webhook-Zeitstempel-Header gefunden.“
Wichtiger Hinweis zur Authentizität
Das Erkennen und Auflisten von Signatur-Headern dient ausschließlich der Strukturprüfung. Das Tool führt keine aktive Verifizierung der Signatur durch. Es berechnet keine HMAC-Werte, prüft keine Algorithmen, gleicht keine geheimen Schlüssel (Secrets) ab und überwacht keine Replay-Zeitfenster.
Wie die Schnittstelle über den Hinweis Das Vorhandensein eines Signaturfelds beweist nicht, dass die Anfrage authentisch ist – für eine echte Verifizierung werden die Signaturregeln des Absenders, das Secret oder der Schlüssel sowie die ursprünglichen Byte-Daten der Anfrage benötigt. klarstellt: Das Vorhandensein eines Signaturfelds beweist nicht, dass die Anfrage authentisch ist – für eine echte Verifizierung werden die Signaturregeln des Absenders, das Secret oder der Schlüssel sowie die ursprünglichen Byte-Daten der Anfrage benötigt.
Lokale Tests mit cURL
Um die empfangene Webhook-Anfrage lokal zu replizieren und die eigene Anwendung zu testen, generiert das Werkzeug automatisch einen shell-konformen cURL-Befehl.
Dieser Befehl ist fest auf die lokale Zieladresse http://localhost:3000/webhooks eingestellt. Er enthält alle eingegebenen Header und den formatierten oder unformatierten Körper der Anfrage, sodass Entwickler den Aufruf direkt im Terminal ihrer lokalen Entwicklungsumgebung ausführen können.
Validierungsregeln und Fehlermeldungen
Das Werkzeug prüft die Eingaben streng auf Einhaltung der Formatvorgaben und Grenzwerte. Folgende Fehlermeldungen können bei der Validierung auftreten:
| Ursache | Fehlermeldung im Tool |
|---|---|
| Keine Eingaben vorhanden | „Fügen Sie zuerst mindestens einen Header oder einen Anforderungstext ein.“ |
| Header-Gesamtlänge überschritten | „Die Header sind für dieses Tool zu lang. Entfernen Sie nicht zusammenhängende oder wiederholte Werte.“ |
| Zu viele Header-Zeilen | „Es sind zu viele Kopfzeilen vorhanden. Beschränken Sie die Anfrage auf 200 Header oder weniger.“ |
| Ungültiges Header-Format | „‹line›: Kopfzeile ist ungültig. Verwenden Sie den Namen: Wert.“ |
| Körper-Länge überschritten | „Der Körper ist zu lang für dieses Werkzeug. Halten Sie die Länge unter 1.000.000 Zeichen.“ |
Häufig gestellte Fragen (FAQ)
Kann diese Seite einen Live-Webhook-Rückruf empfangen?
Nein. Fügen Sie hier eine erfasste Anfrage zur Überprüfung ein. Die Seite erstellt keinen öffentlichen Endpunkt, empfängt keine Rückrufe und sendet die generierte Testanfrage nicht.
Welche Webhook-Body-Formate kann ich überprüfen?
JSON- und URL-codierte Formularkörper werden erkannt und formatiert. Andere Körper bleiben im Klartext, sodass das Tool XML-, Multipart- oder Binärinhalte nicht errät.
Beweist das Finden eines Signaturfelds, dass die Anfrage authentisch ist?
Nein. Das Tool zeigt nur Signatur- und zugehörige Zeitstempel-Header an. Für eine echte Verifizierung sind die genauen Signaturregeln, der geheime oder öffentliche Schlüssel des Absenders und die ursprünglichen Anforderungsbytes erforderlich.