Abrir la API y los webhooks
01En una frase #sec_13e9f74d
La API de REVIEWIT permite que sus herramientas SIEM, BI, ITSM o IGA consuman directamente campañas, decisiones y pista de auditoría; los webhooks empujan los eventos hacia ellos — cada cliente con sus propias credenciales, cada webhook con su propio secreto.
02Dónde #sec_1398f612
Parámetros, pestaña Integraciones e IA: Clientes API y Webhooks. Las dos pantallas comparten una capacidad de edición: si su suscripción no está en una edición que la incluye, la pantalla lo dice — El acceso a la API está incluido con la edición … — y ofrece Comparar ediciones o contactar a su interlocutor.
03Antes de abrir #sec_c6be4ab0
Un cliente API es una cuenta técnica con un perímetro. Las tres preguntas que debe hacerse antes de crearlo son las que se le hacen a una cuenta de servicio:
- ¿Qué herramienta? Un cliente por herramienta, nombrado según él. Nunca un cliente «genérico»
compartido entre tres equipos.
- ¿Leer o escribir? *Cada cliente recibe sus propias credenciales y sus propios alcances de
lectura o escritura.* Una herramienta de informes no escribe nada.
- ¿Secreto o certificado? OAuth2 client credentials — secreto o certificado, a elegir. El
certificado evita tener un secreto que hacer circular.
04Crear un cliente API #sec_ef367d47
Nuevo cliente API. Un nombre, el modo de autenticación, los alcances, una expiración. Al crearlo, el secreto se muestra una sola vez; Copiar lo pone en el portapapeles. No será visible después: guárdelo en la caja fuerte de la herramienta que lo usa antes de cerrar el panel.
La lista lleva luego cada cliente: nombre, autenticación (Secreto o Certificado), estado, última utilización, creado el, expiración. Dos columnas para releer regularmente: un cliente nunca utilizado es un acceso abierto por nada; un cliente próximo a la expiración va a romper una integración una mañana.
Tres gestos: Detalle, Rotación — Rotación del secreto: el antiguo deja de ser válido — y Revocar.
La documentación completa de la API — autenticación, paginación, límites de caudal, y cada punto de llamada — está en el capítulo Referencia de API de este portal.
05Crear un webhook #sec_1542805b
Los webhooks empujan los eventos de campaña, decisión y eliminación hacia sus herramientas ITSM, SIEM o de automatización — cargas úteles firmadas HMAC.
Nuevo webhook: una URL de recepción, los eventos a recibir — campaña lanzada o terminada, acceso revocado, reto abierto, eliminación solicitada — y un secreto de firma, mostrado una vez también. Su receptor verifica la firma de cada entrega con este secreto; una entrega no firmada o mal firmada no viene de REVIEWIT.
La lista muestra para cada webhook sus eventos, su estado, último éxito y último fallo. Entregas abre el historial, entrega por entrega.
06Cuando un webhook muere #sec_59b75620
Un receptor que ya no responde termina por ser cortado: 20 entregas con dead-letter consecutivas — el endpoint parece muerto. El webhook pasa a Auto-desactivado. Nada se pierde en el lado de REVIEWIT, pero tampoco se entrega nada.
El gesto de reanudación está escrito en la pantalla: haga una rotación del secreto para reactivar después de la reparación. La rotación es franca: el secreto actual deja de verificar inmediatamente — no hay superposición. Repare el receptor primero, luego gire el secreto, luego ponga el nuevo secreto en el receptor.
07Eliminar #sec_d839318b
Eliminar un webhook lo coloca en Elementos eliminados: su URL y sus eventos podrán ser restablecidos hasta el … — su secreto, no. Un webhook restablecido comienza con un secreto nuevo.
08La higiene #sec_8913bb12
| Cuándo | Qué |
|---|---|
| Al crear | El secreto en la caja fuerte de la herramienta, luego cerrar el panel |
| Cada trimestre | Última utilización y Expiración de los clientes; Último fallo de los webhooks |
| Al inicio de una integración | Revocar el cliente, Eliminar el webhook — no « desactivar y olvidar » |
| Después de un incidente en el lado del receptor | Rotación del secreto del webhook |
09Lo que esta página no cubre #sec_3424cfd8
La difusión continua de la pista de auditoría hacia un SIEM no es ni un cliente API ni un webhook: es BEACON, con sus propias garantías de orden y prueba. Es la página siguiente.
10A recordar #sec_4cc007e0
Un cliente por herramienta, un secreto visto una vez, alcances lo más ajustado posible. Un webhook firmado, supervisado por sus dos fechas, reactivado por rotación. Y todo lo que ya no sirve se revoca — un acceso técnico se recertifica como los demás.