Apply-Webhooks

Im Webhook-Modus (applyMode = 'webhook') wird ein abgeschlossener Import als HTTP-POST an Ihr Backend zugestellt — HMAC-signiert, dauerhaft wiederholt und in einem Zustellungs-Audit-Log erfasst.

Endpoint registrieren

Registrieren Sie die URL einmal; die Antwort enthält das Signing-Secret genau einmal — speichern Sie es. Eine Rotation gibt es auf demselben Weg neu aus.

POST /api/import/v1/webhooks
content-type: application/json

{ "url": "https://api.your-app.example/mildport/apply" }

Die Anfrage

POST /your/apply-endpoint
x-import-event: import.apply
x-import-delivery-id: dlv_4f2…
x-import-timestamp: 1717000000
x-import-signature: t=…,v1=hmac_sha256(body)…
content-type: application/json

{
  "event": "import.apply",
  "deliveryId": "dlv_4f2…",
  "tenantId": "tnt_…",
  "recordId": "rec_…",
  "action": "submit",
  "rowCount": 128,
  "mapping": { "Email": "person.email", "First name": "person.firstName" },
  "rows": [{ "person.email": "[email protected]", "person.firstName": "Ada" }],
  "occurredAt": "2026-07-12T00:00:00.000Z"
}

meta (Host-Kontext), entities und links (der aufgelöste Referenz-Graph) erscheinen, wenn der Import sie genutzt hat.

Die Signatur verifizieren

Berechnen Sie einen HMAC-SHA256 über den rohen Anfrage-Body mit Ihrem Zustellungs-Secret und vergleichen Sie ihn in konstanter Zeit mit dem v1-Wert in x-import-signature. Der t=-Wert ist der signierte Zeitstempel — weisen Sie Zustellungen ab, deren Zeitstempel zu alt ist, um Replay-Angriffe abzuschwächen.

import { createHmac, timingSafeEqual } from 'node:crypto';

function verify(rawBody: string, header: string, secret: string): boolean {
  const parts = Object.fromEntries(header.split(',').map(kv => kv.split('=')));
  const expected = createHmac('sha256', secret).update(`${parts.t}.${rawBody}`).digest('hex');
  const got = Buffer.from(parts.v1 ?? '', 'hex');
  const exp = Buffer.from(expected, 'hex');
  return got.length === exp.length && timingSafeEqual(got, exp);
}

Wiederholungen & Idempotenz

Zustellungen werden mit Backoff wiederholt, bis Ihr Endpunkt 2xx zurückgibt. Verwenden Sie x-import-delivery-id (oder recordId) zum Deduplizieren — derselbe Import kann mehr als einmal zugestellt werden.