Webhook-Benachrichtigungen sind für eigene Systeme vorgesehen, die Verifikation und Signaturprüfung unterstützen. Ein unverändertes Slack- oder Discord-Incoming-Webhook ist daher kein direkt kompatibles Ziel.
Ziel bestätigen
Trage eine öffentliche HTTPS-Adresse mit Standardport 443 ein. Dein Endpunkt erhält einen POST mit Content-Type application/json:
{"type":"debugteam.verification","challenge":"zufälliger-wert"}
Antworte innerhalb von zehn Sekunden mit HTTP 200 und dem gleichen Challenge-Wert:
{"challenge":"zufälliger-wert"}
Die Challenge ist keine Sicherheitswarnung. Das Ziel wird erst nach der erfolgreichen Antwort für Warnungen freigegeben. Weiterleitungen werden nicht verfolgt. Interne Adressen und reservierte Netze sind gesperrt.
Ereignisse empfangen
Eine Nachricht enthält eine stabile Ereignis-ID, einen Typ und ein data-Objekt mit Website, Beobachtungszeitpunkt und Ereignisdetails. Sicherheitsmeldungen enthalten verfügbare Quellen-/Lizenzangaben, Versionsbereiche und Fixhinweise.
{"id":"eindeutige-ereignis-id","type":"website_down","data":{"event":"website_down","site":"https://example.org/","observed_at":0}}
Das ist ein fiktives Strukturbeispiel, kein tatsächlicher Ausfall.
Signatur prüfen
Das Signiergeheimnis findest du ausschließlich in deiner geschützten Verwaltung. Verwende den unbearbeiteten HTTP-Body und die Header X-DebugTeam-Timestamp, X-DebugTeam-Id und X-DebugTeam-Signature.
signierte_daten = zeitstempel + "." + roher_body signatur = HMAC_SHA256(signiergeheimnis, signierte_daten) erwarteter_header = "sha256=" + signatur_als_hex
Vergleiche Signaturen in konstanter Zeit, akzeptiere nur ein kurzes Zeitfenster und dedupliziere anhand der Ereignis-ID. Beantworte erfolgreich angenommene Nachrichten mit einem 2xx-Status. Das Geheimnis gehört nicht in Browsercode oder öffentliche Repositories.
Wiederholungen
Fehlgeschlagene Zustellungen werden bis zu sechs Mal versucht, mit steigenden Abständen. Dieselbe Ereignis-ID bleibt erhalten. Eine unterbrochene Verbindung kann zu einer doppelten Zustellung führen. Fehlgeschlagene Zustellungen sind in deiner Verwaltung als Anzahl sichtbar.