Abrir a API e os webhooks

01Em uma frase #sec_13e9f74d

A API REVIEWIT permite que as suas ferramentas SIEM, BI, ITSM ou IGA consumam diretamente campanhas, decisões e pista de auditoria; os webhooks empurram os eventos para elas — cada cliente com os seus próprios identificadores, cada webhook com o seu próprio segredo.

02Onde #sec_1398f612

Parâmetros, separador Integrações & IA: Clientes API e Webhooks. Os dois ecrãs partilham uma capacidade de edição: se a sua subscrição não estiver numa edição que a inclua, o ecrã diz — O acesso à API está incluído com a edição … — e propõe Comparar edições ou contactar o seu interlocutor.

03Antes de abrir #sec_c6be4ab0

Um cliente API é uma conta técnica com um perímetro. As três questões a fazer antes de o criar são aquelas que se fazem a uma conta de serviço:

1. Que ferramenta? Um cliente por ferramenta, nomeado de acordo com ela. Nunca um cliente «genérico»

partilhado entre três equipas.

1. Ler ou escrever? *Cada cliente recebe as suas próprias credenciais e os seus próprios âmbitos de

leitura ou de escrita.* Uma ferramenta de reporte não escreve nada.

1. Segredo ou certificado? OAuth2 client credentials — segredo ou certificado, à escolha. O

certificado evita ter um segredo a circular.

04Criar um cliente API #sec_ef367d47

Novo cliente API. Um nome, o modo de autenticação, os âmbitos, uma expiração. Na criação, o segredo é exibido uma única vez; Copiar coloca-o na área de transferências. Não será mais visível depois: guarde-o no cofre da ferramenta que o utiliza antes de fechar o painel.

A lista apresenta então cada cliente: nome, auth (Segredo ou Certificado), estado, última utilização, criado em, expiração. Duas colunas a reler regularmente: um cliente nunca utilizado é um acesso aberto para nada; um cliente próximo da expiração vai quebrar uma integração uma manhã.

Três gestos: Detalhe, Rotação — Rotação do segredo: o antigo deixa de valer — e Revogar.

A documentação completa da API — autenticação, paginação, limites de débito, e cada ponto de chamada — está no capítulo Referência de API deste portal.

05Criar um webhook #sec_1542805b

Os webhooks empurram os eventos de campanha, de decisão e de eliminação para as suas ferramentas ITSM, SIEM ou de automação — cargas úteis assinadas HMAC.

Novo webhook: uma URL de receção, os eventos a receber — campanha lançada ou terminada, acesso revogado, desafio aberto, eliminação solicitada — e um segredo de assinatura, exibido uma vez também. O seu recetor verifica a assinatura de cada entrega com este segredo; uma entrega não assinada ou mal assinada não vem do REVIEWIT.

A lista mostra para cada webhook os seus eventos, o seu estado, último sucesso e último erro. Entregas abre o histórico, entrega por entrega.

06Quando um webhook morre #sec_59b75620

Um recetor que não responde mais acaba por ser cortado: 20 entregas dead-letteradas consecutivas — o endpoint parece morto. O webhook passa para Auto-desativado. Nada é perdido do lado do REVIEWIT, mas nada é entregue também.

O gesto de retomada está escrito no ecrã: faça uma rotação do segredo para reativar após reparação. A rotação é franca: o segredo atual deixa de verificar imediatamente — sem sobreposição. Reparar o recetor primeiro, depois rodar o segredo, depois colocar o novo segredo no recetor.

07Eliminar #sec_d839318b

Eliminar um webhook coloca-o em Itens eliminados: o seu URL e eventos poderão ser restaurados até ao … — o seu segredo, não. Um webhook restaurado reinicia com um novo segredo.

08A higiene #sec_8913bb12

09O que esta página não cobre #sec_3424cfd8

A difusão contínua da pista de auditoria para um SIEM não é nem um cliente API nem um webhook: é BEACON, com as suas próprias garantias de ordem e prova. É a página seguinte.

10A reter #sec_4cc007e0

Um cliente por ferramenta, um segredo visto uma vez, scopes o mais preciso possível. Um webhook assinado, monitorizado pelas suas duas datas, reativado por rotação. E tudo o que não serve mais é revogado — um acesso técnico é recertificado como os outros.