Aprire l'API e i webhook
01In una frase #sec_13e9f74d
L'API REVIEWIT permette ai tuoi strumenti SIEM, BI, ITSM o IGA di consumare direttamente campagne, decisioni e tracce di audit; i webhook spingono gli eventi verso di essi — ogni cliente con i propri identificativi, ogni webhook con il proprio segreto.
02Dove #sec_1398f612
Parametri, scheda Integrazioni & IA: Clienti API e Webhook. I due schermi condividono una capacità di modifica: se la tua souscription non è in un'edizione che la include, lo schermo lo dice — L'accesso API è incluso con l'edizione … — e propone Confronta le edizioni o di contattare il tuo referente.
03Prima di aprire #sec_c6be4ab0
Un cliente API è un conto tecnico con uno scope. Le tre domande da porsi prima di crearlo sono quelle che si pongono a un conto di servizio:
- Quale strumento? Un cliente per strumento, nominato in base ad esso. Mai un cliente « generico »
condiviso tra tre team.
- Leggere o scrivere? *Ogni cliente riceve le proprie credenziali e i propri scope di
lettura o scrittura.* Uno strumento di reportistica non scrive nulla.
- Segreto o certificato? OAuth2 client credentials — segreto o certificato, a scelta. Il
certificato evita di dover far circolare un segreto.
04Creare un cliente API #sec_ef367d47
Nuovo cliente API. Un nome, la modalità di autenticazione, gli scope, una scadenza. Alla creazione, il segreto viene visualizzato una sola volta; Copia lo mette negli appunti. Non sarà più visibile dopo: conservalo nel cofano dello strumento che lo utilizza prima di chiudere il pannello.
La lista mostra poi ogni cliente: nome, auth ( Segreto o Certificato ), stato, ultima utilizzazione, creato il, scadenza. Due colonne da rileggere regolarmente: un cliente mai utilizzato è un accesso aperto per niente; un cliente prossimo alla scadenza romperà un'integrazione un giorno.
Tre azioni: Dettaglio, Rotazione — Rotazione del segreto: il vecchio smette di valere — e Revocare.
La documentazione completa dell'API — autenticazione, paginazione, limiti di rate, e ogni punto di chiamata — è nel capitolo Riferimento API di questo portale.
05Creare un webhook #sec_1542805b
I webhook spingono gli eventi di campagna, di decisione e di cancellazione verso i tuoi strumenti ITSM, SIEM o di automazione — payload firmati HMAC.
Nuovo webhook: un URL di ricezione, gli eventi da ricevere — campagna avviata o terminata, accesso revocato, challenge aperto, cancellazione richiesta — e un segreto di firma, visualizzato anch'esso una volta. Il tuo ricevitore verifica la firma di ogni consegna con questo segreto; una consegna non firmata o mal firmata non proviene da REVIEWIT.
La lista mostra per ogni webhook i suoi eventi, il suo stato, ultimo successo e ultimo fallimento. Consegne apre la cronologia, consegna per consegna.
06Quando un webhook muore #sec_59b75620
Un ricevitore che non risponde più finisce per essere tagliato: 20 consegne dead-lettered consecutive — l'endpoint sembra morto. Il webhook passa Auto-disattivato. Niente è perso lato REVIEWIT, ma niente viene consegnato neanche.
L'azione di ripresa è scritta sullo schermo: fai una rotazione del segreto per riattivare dopo la riparazione. La rotazione è netta: il segreto attuale smette di verificare immediatamente — niente sovrapposizione. Ripara prima il ricevitore, poi gira il segreto, poi metti il nuovo segreto nel ricevitore.
07Eliminare #sec_d839318b
Eliminare un webhook lo sposta in Elementi eliminati: il suo URL e gli eventi possono essere ripristinati fino al … ma non il suo segreto. Un webhook ripristinato parte con un nuovo segreto.
08L'igiene #sec_8913bb12
| Quando | Cosa |
|---|---|
| Alla creazione | Il segreto nel cofano dello strumento, poi chiudere il pannello |
| Ogni trimestre | Ultimo utilizzo e Scadenza dei clienti; Ultimo errore dei webhook |
| All'uscita da un'integrazione | Revocare il cliente, Eliminare il webhook — non « disattivare e dimenticare » |
| Dopo un incidente lato destinatario | Rotazione del segreto del webhook |
09Ciò che questa pagina non copre #sec_3424cfd8
La diffusione continua della traccia di audit verso un SIEM non è né un client API né un webhook: è BEACON, con le sue garanzie proprie di ordine e prova. È la pagina successiva.
10Da ricordare #sec_4cc007e0
Un client per strumento, un segreto visto una volta, scope al più stretto. Un webhook firmato, monitorato dalle sue due date, riattivato per rotazione. E tutto ciò che non serve più viene revocato — un accesso tecnico si ricertifica come gli altri.