Signiergeheimnis eines Webhook-Endpunkts rotieren

POST /v1/webhook-endpoints/{endpoint_id}:rotate-secret · Berechtigung webhook-endpoints:write · alle Tarife

Stellt ein neues Signiergeheimnis aus und gibt es nur einmal zurück (Cache-Control: no-store). Während previous_secret_ttl_hours (Standard 24) trägt jede Zustellung zwei Signaturen im Header webhook-signature, eine mit dem alten und eine mit dem neuen Geheimnis, sodass Sie Ihren Empfänger umstellen können, ohne Zustellungen zu verlieren. 0 verwirft das alte Geheimnis sofort (etwa bei einem kompromittierten Geheimnis). Eine mit demselben Idempotency-Key wiederholte Anfrage gibt den Endpunkt ohne Geheimnis und mit secret_redacted: true zurück.

Anfrage

Feld Typ Pflichtfeld Beschreibung
endpoint_id path ja Webhook-Endpunkt-ID (whe_…).
If-Match header nein Falls angegeben, muss er dem aktuellen ETag des Endpunkts entsprechen.
previous_secret_ttl_hours integer nein 0–168 Stunden, in denen das alte Geheimnis weiter signiert; Standard 24. Der Body ist optional.
Idempotency-Key header nein Gibt die Antwort (ohne Geheimnis) für eine wiederholte Anfrage mit demselben Schlüssel erneut zurück. 
{
  "previous_secret_ttl_hours": 24
}

Antwort

200 OK mit dem Endpunkt, seinem neuen ETag und dem neuen Geheimnis.

{
  "id": "whe_01k8a3m5q7t9v1w3x5y7z9b2c4",
  "key": "crm-sync",
  "url": "https://hooks.example.com/keenauth",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"],
  "event_schema_versions": {},
  "payload_mode": "thin",
  "status": "enabled",
  "rate_limit_per_second": 50,
  "previous_secret_expires_at": "2026-10-27T10:00:00Z",
  "last_success_at": "2026-10-26T09:12:00Z",
  "failing_since": null,
  "version": 4,
  "created_at": "2026-10-26T09:00:00Z",
  "updated_at": "2026-10-26T10:00:00Z",
  "signing_secret": "idp_whsec_<secret>"
}

Fehler

HTTP code Wann
400 unknown_field Der Body enthält ein Feld, das oben nicht aufgeführt ist.
404 not_found Kein solcher Endpunkt in dieser Umgebung.
412 precondition_failed If-Match entspricht nicht der aktuellen Version.
422 validation_failed /previous_secret_ttl_hours out_of_range: nicht 0–168.
422 idempotency_key_reuse Der Idempotency-Key wurde für eine andere Anfrage verwendet.
401 unauthenticated Die Anmeldeinformationen fehlen, sind ungültig oder widerrufen.
403 insufficient_permissions Die Anmeldeinformationen haben nicht webhook-endpoints:write.
503 service_unavailable Die Webhook-Verwaltung ist vorübergehend nicht verfügbar; wiederholen Sie die Anfrage nach dem Zeitraum Retry-After.

Beispiel

curl -X POST https://api.eu.keenauth.com/v1/webhook-endpoints/whe_01k8a3m5q7t9v1w3x5y7z9b2c4:rotate-secret \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: 4c6e8a0b-2d4f-4a6c-9e1b-3d5f7a9c1e3b" \
  -d '{"previous_secret_ttl_hours":24}'

CLI: keenauth webhook-endpoints rotate-secret whe_01k8a3m5q7t9v1w3x5y7z9b2c4 --previous-secret-ttl-hours 24