Webhooks

​

Einen Webhook aktivieren

1. Öffne ein Formular im Dashboard → Einstellungen → Webhooks.
2. Gib die https://-URL deines Endpunkts (webhook_url) ein und speichere.
3. Das Dashboard zeigt ein Signaturgeheimnis (whsec_…) für dieses Formular, kopiere es; du brauchst es, um eingehende Anfragen zu verifizieren.

​

Wann er ausgelöst wird

​

Anfrage

​

Payload

{
  "type": "submission.received",
  "version": 1,
  "id": "sub_...",
  "form_id": "frm_...",
  "created_at": 1720700000000,
  "data": {
    "name": "John Smith",
    "email": "john@example.com",
    "message": "Hello!"
  }
}

• type / version: das Envelope. Heute existiert nur submission.received (Version 1); neue Event-Typen können später hinzukommen.
• data: deine eingesendeten Felder, bereits bereinigt: access_key, das botcheck-Honeypot und jedes redirect-Steuerfeld werden entfernt und nie einbezogen.

​

Die Signatur verifizieren

import crypto from "node:crypto";

function verify(rawBody, headers, secret, toleranceMs = 5 * 60_000) {
  const ts = Number(headers["x-formpaste-timestamp"]);
  if (!Number.isFinite(ts) || Math.abs(Date.now() - ts) > toleranceMs) return false;

  const expected =
    "sha256=" +
    crypto.createHmac("sha256", secret).update(`${ts}.${rawBody}`).digest("hex");
  const got = headers["x-formpaste-signature"] ?? "";

  const a = Buffer.from(expected);
  const b = Buffer.from(got);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

​

Wiederholungen, Backoff & Zustellungsprotokoll

​

Anforderungen & Limits

• Die URL muss https:// sein, einfaches HTTP wird abgelehnt. Loopback-, privates-Netzwerk-, Link-Local- und Cloud-Metadaten-Adressen werden als SSRF-Schutz abgelehnt, sowohl beim Speichern als auch erneut vor jedem Versand.
• Eine Webhook-URL pro Formular.

​

An Slack / Discord senden

​

Free vs. Pro

​

Ohne Konfiguration nutzbar