Was ist ein Webhook?

Wie funktioniert ein Webhook?

Ein Webhook funktioniert so: Tritt in einem System ein festgelegtes Ereignis ein, schickt es die passenden Daten automatisch an die Internetadresse eines anderen Systems. Diese feste Adresse heißt URL. Das empfangende System stellt sie bereit. Das sendende System speichert sie und legt fest, bei welchem Ereignis es Daten verschicken soll. Die Anfrage läuft über HTTP, das Übertragungsverfahren des Internets. Die Daten stecken meist im Format JSON, einem einfachen Textformat, das Programme direkt lesen können.

Webflow beschreibt seine Webhooks genau so: Bei einem Ereignis sendet Webflow eine POST-Anfrage mit einem JSON-Objekt an die hinterlegte URL. Der Empfänger bestätigt den Eingang mit dem Statuscode 200. Kommt diese Bestätigung nicht, wiederholt Webflow den Versand bis zu dreimal im Abstand von zehn Minuten, bevor die Zustellung als gescheitert gilt.

Wofür nutzen Unternehmen Webhooks?

Unternehmen nutzen Webhooks, um eine Automatisierung genau in dem Moment zu starten, in dem ein Ereignis eintritt. Typische Ereignisse sind eine neue Anfrage über das Website-Formular, eine Bestellung im Onlineshop, eine bezahlte Rechnung oder ein neuer Eintrag im CRM-System, also in der Kundendatenbank. Der Webhook meldet das Ereignis, und ein nachgelagertes System übernimmt die nächste Aufgabe: Es legt einen Kontakt an, verschickt eine Eingangsbestätigung oder informiert das zuständige Team.

Webflow bietet Webhooks unter anderem für eingesendete Formulare und für neue Bestellungen im Shop an. In der Automatisierungs-Software n8n startet zum Beispiel der Baustein „Webhook“ einen Workflow, sobald Daten an seiner Adresse eintreffen. Ein Workflow ist eine festgelegte Folge von Arbeitsschritten, die ohne Zutun eines Menschen abläuft.

Wie richtet man einen Webhook ein?

Für einen Webhook stellt das empfangende System eine Empfangsadresse bereit, und im sendenden System werden diese Adresse und das gewünschte Ereignis hinterlegt. Einen eigenen Server braucht es dafür nicht unbedingt, denn Automatisierungs-Software wie n8n stellt solche Adressen bereit. Am Beispiel von Webflow und n8n sieht die Einrichtung so aus:

1. Empfangsadresse anlegen: Der Baustein „Webhook“ in n8n liefert eine Testadresse und eine Produktionsadresse. Die Produktionsadresse wird erst aktiv, wenn der Workflow veröffentlicht ist.
2. Ereignis festlegen: In Webflow lässt sich ein Webhook im Dashboard oder über die API, also die Programmierschnittstelle von Webflow, anlegen. Dabei werden die Website, die Art des Ereignisses und die Zieladresse angegeben.
3. Verbindung testen: Mit „Listen for Test Event“ wartet n8n auf eine Testnachricht und zeigt die eingehenden Daten direkt im Workflow an.

Welche Vor- und Nachteile hat ein Webhook?

Ein Webhook liefert Daten sofort und ohne ständiges Nachfragen, setzt aber einen Empfänger voraus, der jederzeit erreichbar ist. Die Daten kommen in dem Moment an, in dem das Ereignis eintritt. Das empfangende System muss nicht ständig nachfragen, ob es etwas Neues gibt, und spart sich dadurch Aufwand und Rechenleistung.

Ist der Empfänger länger nicht erreichbar, kommen die Daten verspätet oder gar nicht an, sobald der Absender seine Wiederholungen aufgegeben hat. Webflow deaktiviert einen Webhook nach wiederholten Fehlschlägen und informiert den Inhaber per E-Mail. Auch die Antwortzeit zählt: GitHub erwartet eine Bestätigung innerhalb von zehn Sekunden und wertet die Zustellung sonst als gescheitert. Deshalb gehören eine Überwachung und ein Plan für Ausfälle zu jeder Webhook-Verbindung.

Wie wird ein Webhook abgesichert?

Ein Webhook wird abgesichert, indem der Empfänger jede eingehende Nachricht prüft, bevor er sie verarbeitet. Die Empfangsadresse ist aus dem Internet erreichbar, deshalb muss er gefälschte Daten erkennen können. Webflow unterschreibt seine Webhooks dafür mit einem geheimen Schlüssel und schickt die Signatur (ein SHA-256-HMAC-Wert) sowie einen Zeitstempel im Kopf der Anfrage mit. Bei Webhooks, die im Dashboard angelegt wurden, fehlen diese Angaben laut Webflow. Wer die Signatur prüfen will, legt den Webhook deshalb über die API an. Ist eine Nachricht älter als fünf Minuten, kann das laut Webflow auf einen Wiederholungsangriff hindeuten.

In n8n lässt sich die Adresse zusätzlich mit einer Anmeldung schützen, etwa per Basic Auth, Header Auth oder JWT. GitHub empfiehlt außerdem eine verschlüsselte Verbindung über HTTPS, keine Zugangsdaten in der Empfangsadresse und nur die Ereignisse zu abonnieren, die tatsächlich gebraucht werden. Ebenso sollte ein Webhook nur die Daten übertragen, die der nächste Arbeitsschritt braucht.

Was unterscheidet einen Webhook von einer API-Abfrage?

Eine API ist eine Programmierschnittstelle, über die ein Programm Daten bei einem anderen abfragen kann. Fragt ein System eine API in festen Abständen ab, spricht man von Polling. Ein Webhook dreht die Richtung um: Das System, in dem etwas passiert, meldet sich von selbst. GitHub fasst es so zusammen, dass Webhooks Daten liefern, sobald sie entstehen, statt eine API immer wieder abzufragen.

• Wer wird aktiv? Beim Webhook das System, in dem das Ereignis passiert. Beim Polling das System, das die Daten braucht.
• Wann kommen die Daten an? Beim Webhook sofort. Beim Polling erst bei der nächsten Abfrage, zum Beispiel alle fünf Minuten.
• Wie viel Aufwand entsteht? Beim Webhook nur bei echten Ereignissen. Beim Polling auch dann, wenn es nichts Neues gibt.