Renouveler le secret de signature d'un point de terminaison webhook

POST /v1/webhook-endpoints/{endpoint_id}:rotate-secret · autorisation webhook-endpoints:write · tous les forfaits

Émet un nouveau secret de signature et le renvoie une seule fois (Cache-Control: no-store). Pendant previous_secret_ttl_hours (par défaut 24), chaque livraison porte deux signatures dans l'en-tête webhook-signature, l'une avec l'ancien secret et l'autre avec le nouveau, afin que vous puissiez basculer votre récepteur sans perdre de livraisons. La valeur 0 supprime immédiatement l'ancien secret (en cas de secret compromis). Une requête répétée avec la même Idempotency-Key renvoie le point de terminaison sans le secret et avec secret_redacted: true.

Requête

Champ	Type	Obligatoire	Description
`endpoint_id`	path	oui	Identifiant du point de terminaison webhook (`whe_…`).
`If-Match`	header	non	Si elle est fournie, doit correspondre à l'`ETag` actuel du point de terminaison.
`previous_secret_ttl_hours`	integer	non	De 0 à 168 heures pendant lesquelles l'ancien secret continue de signer ; par défaut 24. Le corps de la requête est facultatif.
`Idempotency-Key`	header	non	Rejoue la réponse (sans le secret) pour une requête répétée avec la même clé.

{
  "previous_secret_ttl_hours": 24
}

Réponse

200 OK avec le point de terminaison, son nouvel ETag et le nouveau secret.

{
  "id": "whe_01k8a3m5q7t9v1w3x5y7z9b2c4",
  "key": "crm-sync",
  "url": "https://hooks.example.com/keenauth",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"],
  "event_schema_versions": {},
  "payload_mode": "thin",
  "status": "enabled",
  "rate_limit_per_second": 50,
  "previous_secret_expires_at": "2026-10-27T10:00:00Z",
  "last_success_at": "2026-10-26T09:12:00Z",
  "failing_since": null,
  "version": 4,
  "created_at": "2026-10-26T09:00:00Z",
  "updated_at": "2026-10-26T10:00:00Z",
  "signing_secret": "idp_whsec_<secret>"
}

Erreurs

HTTP	code	Quand
400	`unknown_field`	Le corps contient un champ qui n'est pas listé ci-dessus.
404	`not_found`	Aucun point de terminaison de ce type dans cet environnement.
412	`precondition_failed`	`If-Match` ne correspond pas à la version actuelle.
422	`validation_failed`	`/previous_secret_ttl_hours out_of_range` : valeur non comprise entre 0 et 168.
422	`idempotency_key_reuse`	La `Idempotency-Key` a été utilisée avec une requête différente.
401	`unauthenticated`	L'identifiant d'authentification est absent, invalide ou révoqué.
403	`insufficient_permissions`	L'identifiant d'authentification ne dispose pas de l'autorisation `webhook-endpoints:write`.
503	`service_unavailable`	L'administration des webhooks est temporairement indisponible ; réessayez après la période indiquée par `Retry-After`.

Exemple

curl -X POST https://api.eu.keenauth.com/v1/webhook-endpoints/whe_01k8a3m5q7t9v1w3x5y7z9b2c4:rotate-secret \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: 4c6e8a0b-2d4f-4a6c-9e1b-3d5f7a9c1e3b" \
  -d '{"previous_secret_ttl_hours":24}'

CLI : keenauth webhook-endpoints rotate-secret whe_01k8a3m5q7t9v1w3x5y7z9b2c4 --previous-secret-ttl-hours 24