# Añadir un endpoint de webhook

`POST /v1/webhook-endpoints` · permiso `webhook-endpoints:write` · todos los planes

Añade un endpoint que recibe los eventos del entorno, firmado con el esquema Standard Webhooks v1. Las entregas se realizan al menos una vez: deduplique con el encabezado `webhook-id`.

- **Secreto de firma.** La respuesta incluye `signing_secret` (`idp_whsec_…`) una sola vez, con `Cache-Control: no-store`. No se puede recuperar de nuevo; guárdelo de inmediato. Una solicitud repetida con el mismo `Idempotency-Key` devuelve el endpoint sin el secreto y con `secret_redacted: true`. Use [Rotar el secreto de firma](rotate-secret.md) si se pierde o se filtra.
- **URL.** Solo `https`, sin puerto o con el puerto 443, sin información de usuario ni fragmento, sin literal de IP y con un máximo de 2.048 caracteres. No se siguen las redirecciones.
- **Eventos.** `event_types` enumera los tipos de evento del catálogo; una lista vacía significa todos los tipos excepto los de alto volumen.
- **Límite.** Un entorno puede tener como máximo 3 endpoints habilitados en el plan Free, 20 en Startup, 20 en Business o 50 en Enterprise.

## Solicitud

| Campo | Tipo | Obligatorio | Descripción |
|---|---|---|---|
| `url` | string | sí | URL del receptor (reglas anteriores). |
| `key` | string | no | Clave estable, única en el entorno: `[a-z0-9][a-z0-9_-]{0,63}`. Por defecto `endpoint-<últimos 8 caracteres del id>`. |
| `description` | string | no | Máximo 500 caracteres. |
| `event_types` | array | no | Tipos de evento del catálogo, máximo 100, sin duplicados. Vacío o ausente: todos los tipos excepto los de alto volumen. |
| `event_schema_versions` | object | no | Tipo de evento → versión del esquema. Un tipo que no aparece se envía con su versión soportada más antigua. |
| `payload_mode` | string | no | `thin` (por defecto: ids, nombres de los campos modificados y campos de estado, sin datos personales) o `full` (la representación del recurso en la API de gestión). |
| `rate_limit_per_second` | integer | no | De 1 a 1.000 entregas por segundo a este endpoint; por defecto 50. |
| `status` | string | no | `enabled` (por defecto) o `disabled_by_user`. |
| `Idempotency-Key` | header | no | Repite la respuesta (sin el secreto) para una solicitud repetida con la misma clave. |

```json
{
  "url": "https://hooks.example.com/keenauth",
  "key": "crm-sync",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"]
}
```

## Respuesta

`201 Created` con el endpoint, `ETag` con su versión y el secreto. Los demás campos se describen en [Obtener un endpoint de webhook](get.md).

```json
{
  "id": "whe_01k8a3m5q7t9v1w3x5y7z9b2c4",
  "key": "crm-sync",
  "url": "https://hooks.example.com/keenauth",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"],
  "event_schema_versions": {},
  "payload_mode": "thin",
  "status": "enabled",
  "rate_limit_per_second": 50,
  "previous_secret_expires_at": null,
  "last_success_at": null,
  "failing_since": null,
  "version": 1,
  "created_at": "2026-10-26T09:00:00Z",
  "updated_at": "2026-10-26T09:00:00Z",
  "signing_secret": "idp_whsec_<secret>"
}
```

## Errores

| HTTP | código | Cuándo |
|---|---|---|
| 400 | `unknown_field` | El cuerpo tiene un campo que no aparece en la lista anterior. |
| 403 | `quota_exceeded` | El entorno ya tiene el número de endpoints habilitados de su plan, o su plan no es conocido. |
| 409 | `conflict` | Otro endpoint del entorno tiene esta `key`. |
| 422 | `validation_failed` | `/url required`, `/url invalid_webhook_url`, `/key invalid`, `/description too_long`, `/event_types unknown_event_type`, `/event_types duplicate`, `/event_types too_many`, `/event_schema_versions unsupported_schema_version`, `/payload_mode invalid`, `/rate_limit_per_second out_of_range`, `/status invalid`. |
| 422 | `idempotency_key_reuse` | El `Idempotency-Key` se usó con una solicitud diferente. |
| 401 | `unauthenticated` | La credencial falta, no es válida o fue revocada. |
| 403 | `insufficient_permissions` | La credencial no tiene `webhook-endpoints:write`. |
| 429 | `rate_limited` | Se superó el límite de frecuencia; reintente después del período de `Retry-After`. |
| 503 | `service_unavailable` | La administración de webhooks no está disponible temporalmente; reintente después del período de `Retry-After`. |

## Ejemplo

```bash
curl -X POST https://api.eu.keenauth.com/v1/webhook-endpoints \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: 9b2d4f6a-1c3e-4a5b-8d7f-0e2c4a6b8d1f" \
  -d '{"url":"https://hooks.example.com/keenauth","key":"crm-sync","event_types":["user.created","user.updated"]}'
```

CLI: `keenauth webhook-endpoints create --url https://hooks.example.com/keenauth --key crm-sync --event-types user.created,user.updated`