Webhooki \u2013 niby proste, niby wszyscy je znaj\u0105. A jednak w praktyce, gdy audytuj\u0119 architektur\u0119 SaaS-\u00f3w, widz\u0119 te same trzy b\u0142\u0119dy. Powielaj\u0105 je zar\u00f3wno startupy, jak i firmy z kilkuletnim sta\u017cem. Koszty? Utrata danych, utrata klient\u00f3w, godziny debugowania. Sprawd\u017a, czy Tw\u00f3j system te\u017c na tym cierpi.<\/p>\n
Wyobra\u017a sobie: Tw\u00f3j SaaS wysy\u0142a webhook z informacj\u0105 o nowej fakturze. API odbiorcy akurat jest przeci\u0105\u017cone (black friday, promocja, update). Webhook leci w pustk\u0119 \u2013 b\u0142\u0105d 5xx. I co? W wielu implementacjach\u2026 nic. Albo jedna pr\u00f3ba powt\u00f3rzenia za sekund\u0119, kt\u00f3ra ponownie odpada, a potem zapominamy.<\/p>\n
Przyk\u0142ad z \u017cycia:<\/strong> Klient \u2013 platforma do obs\u0142ugi subskrypcji. Ich webhook do systemu ksi\u0119gowego nie mia\u0142 retry. Gdy dostawca API mia\u0142 awari\u0119, stracili informacje o 200 p\u0142atno\u015bciach. Odbudowa danych? R\u0119czna, trwa\u0142a tydzie\u0144.<\/p>\n Rozwi\u0105zanie:<\/strong> Wdr\u00f3\u017c wyk\u0142adniczy backoff (np. 1s, 2s, 4s, 8s\u2026 max 5 pr\u00f3b) i zapisuj nieudane webhooki do kolejki dead-letter. Monitoruj DLQ \u2013 to sygna\u0142 ostrzegawczy.<\/p>\n Klient wysy\u0142a webhook o p\u0142atno\u015bci. Odbiorca przetwarza, ale timeout \u2013 nie wysy\u0142a 200. Nadawca pr\u00f3buje ponownie. Odbiorca dostaje drugi raz ten sam webhook i\u2026 ksi\u0119guje drug\u0105 p\u0142atno\u015b\u0107. Brak idempotentno\u015bci = podw\u00f3jne koszty, reklamacje, zaufanie leci.<\/p>\n Rozwi\u0105zanie:<\/strong> Ka\u017cdy webhook powinien mie\u0107 unikalne ID (UUID7). Odbiorca przechowuje ID i przed przetworzeniem sprawdza, czy ju\u017c go widzia\u0142. Je\u015bli tak \u2013 zwraca 200 bez dzia\u0142ania.<\/p>\n Webhook przychodzi, a Ty ufasz, \u017ce ma wszystkie pola. W jednym z audyt\u00f3w znalaz\u0142em platform\u0119, kt\u00f3ra parsowa\u0142a JSON bez walidacji \u2013 gdy brakowa\u0142o klucza, lecia\u0142 wyj\u0105tek i ca\u0142y proces si\u0119 sypa\u0142. A atakuj\u0105cy mo\u017ce wys\u0142a\u0107 z\u0142o\u015bliwy payload, kt\u00f3ry wykona niechciane operacje.<\/p>\n Rozwi\u0105zanie:<\/strong> Waliduj typy danych, zakresy, obecno\u015b\u0107 wymaganych p\u00f3l. U\u017cywaj schemat\u00f3w (JSON Schema) i weryfikuj sygnatur\u0119 (podpis HMAC lub Token JWT). Nie ufaj \u017cadnemu webhookowi bez autoryzacji.<\/p>\n Przejrzyj sw\u00f3j kod integracji webhook\u00f3w. Czy masz retry z backoffem? Czy obs\u0142ugujesz duplikaty? Czy walidujesz dane? Je\u015bli odpowied\u017a brzmi \u201enie\u201d \u2013 czas to zmieni\u0107. Te trzy b\u0142\u0119dy kosztuj\u0105 Ci\u0119 wi\u0119cej ni\u017c my\u015blisz.<\/p>\n Podsumowanie:<\/strong> Dobre webhooki to podstawa skalowalnego, niezawodnego SaaS. Inwestycja w poprawn\u0105 implementacj\u0119 zwraca si\u0119 wielokrotnie \u2013 mniej b\u0142\u0119d\u00f3w, mniej interwencji supportu, stabilniejsze integracje. A Twoi klienci b\u0119d\u0105 Ci wdzi\u0119czni.<\/p>\n","protected":false},"excerpt":{"rendered":" Dlaczego Tw\u00f3j SaaS traci na z\u0142ej strategii webhook\u00f3w? 3 b\u0142\u0119dy Webhooki \u2013 niby proste, niby wszyscy je znaj\u0105. A jednak w praktyce, gdy audytuj\u0119 architektur\u0119 SaaS-\u00f3w, widz\u0119 te same trzy b\u0142\u0119dy. Powielaj\u0105 je zar\u00f3wno startupy, jak i firmy z kilkuletnim sta\u017cem. Koszty? Utrata danych, utrata klient\u00f3w, godziny debugowania. Sprawd\u017a, czy Tw\u00f3j system te\u017c na tym<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[617,144,386,349],"class_list":["post-2548","post","type-post","status-publish","format-standard","hentry","category-warto-wiedziec","tag-b2b-saas","tag-bledy-techniczne","tag-integracja-api","tag-webhooki"],"_links":{"self":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2548","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/comments?post=2548"}],"version-history":[{"count":0,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2548\/revisions"}],"wp:attachment":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/media?parent=2548"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/categories?post=2548"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/tags?post=2548"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}B\u0142\u0105d 2: Brak idempotentno\u015bci \u2013 zap\u0142acisz dwa razy<\/h3>\n
B\u0142\u0105d 3: Brak walidacji payloadu \u2013 bezpiecze\u0144stwo i g\u0142upie b\u0142\u0119dy<\/h3>\n
Jak zacz\u0105\u0107 to poprawia\u0107?<\/h3>\n