Webhook (HTTP callback)

Qué es un webhook

Un webhook es uno de los métodos de interacción entre distintos servicios web. Es un callback HTTP, es decir, una tecnología del lado del servidor en la que un servidor envía una notificación en tiempo real a un cliente o a otro servidor sobre algún evento. A diferencia de una API tradicional, en la que la solicitud para obtener datos la inicia el cliente, un webhook permite que el servidor envíe activamente datos a un cliente o a otro servidor en cuanto ocurre un determinado evento.

Por ejemplo, imagina que usas un servicio en línea de gestión de proyectos. Puedes configurar un webhook de modo que, cada vez que alguien cree una nueva tarea en un proyecto, la información sobre ella se envíe automáticamente a una URL indicada: a tu sistema de control de tiempo o por correo electrónico. De esta forma, los webhooks permiten un intercambio de datos más eficiente y en tiempo real entre servicios, sin necesidad de consultar constantemente al servidor en busca de nuevos datos.

Cómo es un webhook

Un webhook tiene la forma de una solicitud HTTP que se envía de un servicio web a otro. No es un elemento visual, sino más bien una parte del código o una configuración en una aplicación web. Un webhook suele constar de los siguientes componentes:

1. URL (Endpoint). La dirección a la que se enviará la notificación. Esta URL la proporciona el servicio que debe recibir la notificación y debe ser capaz de procesar las solicitudes HTTP entrantes.
2. Método HTTP. Los webhooks pueden usar distintos métodos HTTP, pero lo más habitual es que usen POST o GET. Las solicitudes POST se utilizan para enviar datos en el cuerpo de la solicitud, mientras que las solicitudes GET pueden transmitir información a través de parámetros en la URL.
3. Datos (Payload). La información que envía un webhook suele estar en el cuerpo de la solicitud (para las solicitudes POST) y puede tener formato JSON, XML u otro. Estos datos contienen información sobre el evento que activó el webhook.
4. Encabezados. Un webhook puede incluir distintos encabezados HTTP que pueden contener información adicional, como el tipo de contenido (Content-Type), tokens de autenticación, etc.

Ejemplo de un webhook que envía una solicitud POST con datos en formato JSON a una URL determinada:

En este ejemplo, un servicio web envía una solicitud POST a la URL /webhook-endpoint del dominio example.com con información sobre una nueva tarea en formato JSON en el cuerpo de la solicitud. Un webhook de este tipo puede configurarse en un sistema de gestión de proyectos para notificar automáticamente a otro servicio cuando se crea una nueva tarea.

Cómo se pueden usar los webhooks

Los webhooks se utilizan en muchos escenarios y aplicaciones para automatizar procesos e integrar distintos servicios web. Estos son algunos ejemplos de su uso práctico:

1. Integración de sistemas. Los webhooks ofrecen una forma sencilla de integrar y conectar distintos sistemas y servicios. Por ejemplo, pueden usarse para sincronizar automáticamente datos entre un sistema CRM y una base de datos de email marketing, manteniendo las listas de suscriptores actualizadas en tiempo real.
2. Notificaciones automáticas. Los servicios pueden usar webhooks para enviar notificaciones automáticas. Por ejemplo, un sistema de gestión de proyectos puede enviar notificaciones sobre nuevas tareas, cambios en el proyecto o comentarios mediante webhooks al correo electrónico, a Slack, a Telegram o a otros mensajeros.
3. Procesamiento de eventos en tiempo real. Los webhooks son ideales para sistemas que requieren procesar eventos en tiempo real. Por ejemplo, una tienda en línea puede usar webhooks para notificar al sistema de contabilidad sobre nuevos pedidos y comenzar de inmediato el proceso de tramitación del pedido.
4. Ampliación de la funcionalidad. Los desarrolladores pueden usar webhooks para ampliar la funcionalidad de aplicaciones existentes, añadiendo acciones o integraciones personalizadas sin modificar el código principal de la aplicación. Por ejemplo, los webhooks pueden activar la ejecución de scripts o funciones del lado del servidor en respuesta a las acciones de los usuarios en una aplicación web.
5. Automatización de flujos de trabajo. Los webhooks pueden servir como disparadores para automatizar flujos de trabajo. Por ejemplo, pueden iniciar automáticamente procesos de prueba de código o de despliegue de aplicaciones tras cada commit en un repositorio Git.
6. Recopilación y análisis de datos. Los webhooks también se usan para recopilar datos de distintas plataformas y analizarlos posteriormente. Por ejemplo, los webhooks pueden enviar datos sobre eventos de los usuarios desde una aplicación web a sistemas de analítica o bases de datos en tiempo real.

¿Es seguro usar webhooks?

Usar webhooks puede ser seguro pero, como en cualquier transferencia de datos por Internet, existen posibles riesgos de seguridad que hay que tener en cuenta y mitigar. Estos son algunos aspectos a los que prestar atención al trabajar con webhooks:

1. Protección de los endpoints. Los endpoints a los que se envían los webhooks deben estar protegidos para evitar accesos no autorizados. Usar HTTPS en lugar de HTTP garantiza el cifrado de los datos durante la transmisión, algo fundamental para proteger la información confidencial.
2. Autenticación y autorización. Para garantizar que los webhooks se envían y reciben entre partes de confianza, es importante usar mecanismos de autenticación y autorización. Esto puede implementarse mediante tokens, claves de API u otros métodos de autenticación que verifiquen la legitimidad del remitente.
3. Comprobación y validación de datos. Es importante comprobar y validar todos los datos recibidos a través de webhooks frente a fraudes o inyecciones de código. Esto ayuda a prevenir ataques como el cross-site scripting (XSS) o la inyección de SQL.
4. Limitación de velocidad. Limitar la velocidad de procesamiento de las solicitudes de webhooks puede ayudar a proteger los sistemas frente a ataques DDoS (denegación de servicio distribuida), en los que los atacantes pueden intentar sobrecargar el servidor con una gran cantidad de solicitudes.
5. Registro y monitoreo. El seguimiento y el análisis de los registros de los webhooks pueden ayudar a detectar actividad sospechosa o posibles amenazas de seguridad. El monitoreo ayuda a garantizar un funcionamiento fiable del sistema y una respuesta oportuna ante incidentes.
6. Actualización y pruebas periódicas. Las actualizaciones periódicas del software, las pruebas de penetración y las auditorías de seguridad pueden ayudar a detectar y corregir vulnerabilidades del sistema que podrían aprovecharse para realizar ataques.

Si se siguen estas precauciones, el uso de webhooks puede ser seguro. No obstante, siempre es importante mantenerse al día con las últimas prácticas de seguridad e implementar las medidas de protección adecuadas para minimizar los riesgos.

Conclusión

Los webhooks ofrecen un medio flexible y eficaz de integración y automatización en el desarrollo web moderno. Cuando se implementan correctamente y con medidas de seguridad, pueden mejorar significativamente el rendimiento, la funcionalidad y la interacción entre distintos servicios web y aplicaciones.

Para quienes estén interesados en integrar y optimizar su trabajo con webhooks en nuestro servicio, hemos preparado una guía detallada sobre cómo empezar a usar webhooks en SurveyNinja.