Update 09/2026 - Signature des webhooks

Tous les webhooks que nous envoyons sont désormais signés. Chaque requête POST envoyée à vos URL de webhook contient un header X-Cocolis-Signature de la forme :

X-Cocolis-Signature: t=1764000000,v1=8f2b3c1d...e9a0

Il contient l'horodatage Unix de la signature (t) et le HMAC-SHA256, encodé en hexadécimal, de la chaîne <t>.<corps brut de la requête>, calculé avec une clé de signature propre à votre application (webhook_signing_secret).

Ce header vous permet de vérifier qu'un appel provient bien de Cocolis et que son contenu n'a pas été altéré entre notre serveur et le vôtre.

Aucune action n'est requise de votre côté : les webhooks continuent de fonctionner à l'identique si vous ne vérifiez pas la signature. Nous vous recommandons toutefois vivement de mettre en place cette vérification.

Pour commencer, récupérez votre clé de signature :

{
  "method": "get",
  "url": "https://api.cocolis.fr/api/v1/applications/webhook_signing_secret",
  "headers": {
    "X-API-KEY": "VOTRE_TOKEN"
  }
}

Référence complète : GET /applications/webhook_signing_secret.

La procédure de vérification complète, avec des exemples en PHP et en Node.js, est décrite sur la page Webhooks.