Интеграция вебхуков

Что такое вебхук и чем он отличается от API

Как подключить вебхук Meta

1. 1

   Откройте endpoint

   Нужен HTTPS-адрес, поддерживающий методы GET и POST.

2. 2

   Ответьте на запрос подтверждения

   Если в GET-запросе hub.verify_token совпадает с вашим значением, верните значение hub.challenge обычным текстом.

3. 3

   Проверьте подпись

   Сравните значение из X-Hub-Signature-256 с HMAC-SHA256 от сырого тела, посчитанным на секрете приложения.

4. 4

   Разберите события

   В одной доставке может прийти несколько объектов и изменений. Превратите каждое в отдельное событие.

5. 5

   Сделайте дедупликацию

   Meta не присылает ID события и может повторить доставку. Собирайте ключ из содержимого (leadgen_id, mid сообщения, ID комментария) — в SDK это dedupe_key(event) — и храните его в уникальной колонке.

6. 6

   Отвечайте быстро

   Возвращайте 200 сразу и уносите тяжёлую работу в очередь — иначе Meta посчитает доставку неуспешной.

Правильная проверка подписи

Код ниже показывает стандартную проверку из документации Meta без SDK. В Socialift SDK та же проверка — функция verify_request(app_secret, body, headers), которую вы вызываете в своём endpoint'е.

import hmac, hashlib

def verify(raw_body: bytes, header: str, app_secret: str) -> bool:
    # заголовок выглядит так: "sha256=abcdef..."
    if not header or not header.startswith("sha256="):
        return False
    expected = hmac.new(
        app_secret.encode(), raw_body, hashlib.sha256
    ).hexdigest()
    # сравнение за постоянное время — защита от timing-атак
    return hmac.compare_digest(expected, header.split("=", 1)[1])

Что даёт Socialift SDK

Какие события приходят

естьнетТаблицу можно прокрутить вбок

Чек-лист безопасности endpoint'а

• ▸Никогда не обрабатывайте запрос с непроверенной подписью.
• ▸Не держите verify_token и app_secret в коде — только в переменных окружения.
• ▸Endpoint должен быть доступен исключительно по HTTPS.
• ▸Ограничьте размер тела запроса и защитите разбор JSON.
• ▸Ставьте события в очередь: ответ должен быть 200, обработка — позже.
• ▸Сохраняйте ключ дедупликации и метку времени (entry.time) — для отсева дублей и аудита.