IT用語
あるサービスで出来事が起きたときに、決められたURLへ自動で通知（HTTPリクエスト）を送る仕組み。
Webhook は、あるサービスで決められた出来事（イベント）が起きたときに、あらかじめ登録した URL へ、自動で通知の HTTP リクエストを送る仕組みです。
例
- GitHub にコードが反映されたら、CI/CD のサービスや Slack に通知する
- 決済サービス（Stripe など）で支払いが完了したら、自分のサイトに通知して注文を確定する
- フォームが送信されたら、チャットに通知する
API との違い
API は、こちらから必要なときに問い合わせる仕組みです。Webhook は、出来事が起きたときに相手から通知が届く仕組みで、定期的に問い合わせる必要がありません。
受け取る側のセキュリティ
Webhook を受け取る URL は誰でもリクエストを送れるため、本物の通知かを確かめる必要があります。
- 送信元が付ける署名（共有した秘密の値で作ったもの）を検証する
- 通知の内容だけを信用せず、必要に応じて送信元の API で事実を確かめる
- 同じ通知が複数回届いても問題ないように処理する
送る側のセキュリティ
利用者が Webhook の送信先を自由に設定できるサービスでは、内部のシステムに送らされる SSRF に注意します。
