# Aggiungi un endpoint webhook

`POST /v1/webhook-endpoints` · permesso `webhook-endpoints:write` · tutti i piani

Aggiunge un endpoint che riceve gli eventi dell'ambiente, firmati con lo schema Standard Webhooks v1. Le consegne avvengono almeno una volta: deduplica con l'header `webhook-id`.

- **Segreto di firma.** La risposta contiene `signing_secret` (`idp_whsec_…`) una sola volta, con `Cache-Control: no-store`. Non può essere recuperato di nuovo; memorizzalo subito. Una richiesta ripetuta con lo stesso `Idempotency-Key` restituisce l'endpoint senza il segreto e con `secret_redacted: true`. Usa [Ruota il segreto di firma](rotate-secret.md) se è andato perso o è stato esposto.
- **URL.** Solo `https`, nessuna porta o porta 443, nessuna informazione utente o frammento, nessun IP letterale, al massimo 2.048 caratteri. I redirect non vengono seguiti.
- **Eventi.** `event_types` elenca i tipi di evento del catalogo; una lista vuota significa tutti i tipi tranne quelli ad alto volume.
- **Limite.** Un ambiente può avere al massimo Free 3, Startup 20, Business 20 o Enterprise 50 endpoint abilitati.

## Richiesta

| Campo | Tipo | Obbligatorio | Descrizione |
|---|---|---|---|
| `url` | string | sì | URL del destinatario (regole sopra). |
| `key` | string | no | Chiave stabile, unica nell'ambiente: `[a-z0-9][a-z0-9_-]{0,63}`. Predefinita `endpoint-<ultimi 8 caratteri dell'id>`. |
| `description` | string | no | Al massimo 500 caratteri. |
| `event_types` | array | no | Tipi di evento del catalogo, al massimo 100, senza duplicati. Vuoto o assente: tutti i tipi tranne quelli ad alto volume. |
| `event_schema_versions` | object | no | Tipo di evento → versione dello schema. Un tipo non elencato viene inviato con la sua versione supportata più vecchia. |
| `payload_mode` | string | no | `thin` (predefinito: id, nomi dei campi modificati e campi di stato, nessun dato personale) oppure `full` (la rappresentazione della risorsa nell'API di gestione). |
| `rate_limit_per_second` | integer | no | Da 1 a 1.000 consegne al secondo verso questo endpoint; predefinito 50. |
| `status` | string | no | `enabled` (predefinito) oppure `disabled_by_user`. |
| `Idempotency-Key` | header | no | Ripropone la risposta (senza il segreto) per una richiesta ripetuta con la stessa chiave. |

```json
{
  "url": "https://hooks.example.com/keenauth",
  "key": "crm-sync",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"]
}
```

## Risposta

`201 Created` con l'endpoint, `ETag` impostato alla sua versione, e il segreto. Gli altri campi sono descritti in [Ottieni un endpoint webhook](get.md).

```json
{
  "id": "whe_01k8a3m5q7t9v1w3x5y7z9b2c4",
  "key": "crm-sync",
  "url": "https://hooks.example.com/keenauth",
  "description": "CRM sync",
  "event_types": ["user.created", "user.updated"],
  "event_schema_versions": {},
  "payload_mode": "thin",
  "status": "enabled",
  "rate_limit_per_second": 50,
  "previous_secret_expires_at": null,
  "last_success_at": null,
  "failing_since": null,
  "version": 1,
  "created_at": "2026-10-26T09:00:00Z",
  "updated_at": "2026-10-26T09:00:00Z",
  "signing_secret": "idp_whsec_<secret>"
}
```

## Errori

| HTTP | code | Quando |
|---|---|---|
| 400 | `unknown_field` | Il corpo contiene un campo non elencato sopra. |
| 403 | `quota_exceeded` | L'ambiente ha già il numero di endpoint abilitati previsto dal suo piano, oppure il piano non è noto. |
| 409 | `conflict` | Un altro endpoint dell'ambiente ha questa `key`. |
| 422 | `validation_failed` | `/url required`, `/url invalid_webhook_url`, `/key invalid`, `/description too_long`, `/event_types unknown_event_type`, `/event_types duplicate`, `/event_types too_many`, `/event_schema_versions unsupported_schema_version`, `/payload_mode invalid`, `/rate_limit_per_second out_of_range`, `/status invalid`. |
| 422 | `idempotency_key_reuse` | La `Idempotency-Key` è stata usata con una richiesta diversa. |
| 401 | `unauthenticated` | La credenziale è mancante, non valida o revocata. |
| 403 | `insufficient_permissions` | La credenziale non ha `webhook-endpoints:write`. |
| 429 | `rate_limited` | È stato superato il limite di richieste; riprova dopo il periodo di `Retry-After`. |
| 503 | `service_unavailable` | L'amministrazione dei webhook è temporaneamente non disponibile; riprova dopo il periodo di `Retry-After`. |

## Esempio

```bash
curl -X POST https://api.eu.keenauth.com/v1/webhook-endpoints \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: 9b2d4f6a-1c3e-4a5b-8d7f-0e2c4a6b8d1f" \
  -d '{"url":"https://hooks.example.com/keenauth","key":"crm-sync","event_types":["user.created","user.updated"]}'
```

CLI: `keenauth webhook-endpoints create --url https://hooks.example.com/keenauth --key crm-sync --event-types user.created,user.updated`