Aller au contenu principal

Update 10/2026 - Identification des webhooks

Nous ajoutons à chaque webhook deux éléments d'identification, pour vous permettre d'écarter en amont (au niveau de votre reverse proxy, load balancer ou WAF) les requêtes qui ne proviennent pas de Cocolis :

  • Paramètre from_cocolis : nous ajoutons à l'URL de webhook que vous avez définie un paramètre from_cocolis contenant un jeton propre à votre application. Pour obtenir ou changer ce jeton, contactez notre support.
POST https://example.com/cocolis/webhooks?from_cocolis=9f86d081884c7d659a2feaa0c55ad015
  • app_id dans le User-Agent : chaque webhook est envoyé avec le header suivant.
User-Agent: Cocolis-Webhooks/1.0 (+https://www.cocolis.fr; app_id=VOTRE_APP_UID)

Ces éléments ne remplacent pas la signature HMAC (header X-Cocolis-Signature), qui reste le mode de validation prioritaire : c'est le seul qui garantit que la requête provient de Cocolis et que son contenu n'a pas été altéré. Les requêtes qui passent votre filtrage en amont doivent toujours être validées par la signature.

Aucune action n'est requise de votre côté. Si votre URL de webhook contient déjà un paramètre from_cocolis, il sera remplacé par votre jeton.

Le détail de chaque élément, avec des exemples de configuration nginx, est décrit sur la page Webhooks.