Webhooks

​

Activar un webhook

1. Abre un formulario en el panel → Settings → Webhooks.
2. Ingresa la URL https:// de tu endpoint (webhook_url) y guarda.
3. El panel muestra un secreto de firma (whsec_…) para este formulario, cópialo; lo necesitarás para verificar las solicitudes entrantes.

​

Cuándo se activa

​

Solicitud

​

Payload

{
  "type": "submission.received",
  "version": 1,
  "id": "sub_...",
  "form_id": "frm_...",
  "created_at": 1720700000000,
  "data": {
    "name": "John Smith",
    "email": "john@example.com",
    "message": "Hello!"
  }
}

• type / version: el envoltorio. Hoy solo existe submission.received (versión 1); nuevos tipos de evento pueden agregarse más adelante.
• data: tus campos enviados, ya limpios: access_key, el honeypot botcheck, y cualquier campo de control redirect se eliminan y nunca se incluyen.

​

Verificar la firma

import crypto from "node:crypto";

function verify(rawBody, headers, secret, toleranceMs = 5 * 60_000) {
  const ts = Number(headers["x-formpaste-timestamp"]);
  if (!Number.isFinite(ts) || Math.abs(Date.now() - ts) > toleranceMs) return false;

  const expected =
    "sha256=" +
    crypto.createHmac("sha256", secret).update(`${ts}.${rawBody}`).digest("hex");
  const got = headers["x-formpaste-signature"] ?? "";

  const a = Buffer.from(expected);
  const b = Buffer.from(got);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

​

Reintentos, backoff y registro de entregas

​

Requisitos y límites

• La URL debe ser https://, el HTTP simple se rechaza. Las direcciones loopback, de red privada, link-local, y de metadatos en la nube se rechazan como protección SSRF, tanto al guardar como de nuevo antes de cada envío.
• Una URL de webhook por formulario.

​

Enviar a Slack / Discord

​

Free vs. Pro

​

Sin configuración