Concept

Webhook

Un webhook, c'est un message automatique qu'un site envoie à une adresse que tu choisis quand un événement précis se produit.

D'où ça vient

Le terme webhook a été inventé en 2007 par Jeff Lindsay. Il vient du terme de programmation « hook », qui désigne un point d'accroche dans un programme. L'idée permet à des tiers, sans lien avec le site d'origine, de personnaliser le comportement d'une application web.

C'est quoi, concrètement

Un webhook est un rappel HTTP défini par l'utilisateur. Quand un événement survient, comme un achat, un commentaire sur un blogue ou un envoi de code dans un dépôt, le site source fait une requête HTTP vers l'adresse configurée. Au quotidien, ça sert à faire réagir un outil à ce qui se passe dans un autre, sans que personne ait à intervenir.

Exemples

Intégration continue : Un envoi de code dans un dépôt peut déclencher automatiquement une compilation dans un système d'intégration continue.
Suivi de bogues : Un événement dans un outil peut avertir automatiquement un système de suivi de bogues.
Notification d'achat : Un achat sur un site peut appeler l'adresse de ton choix pour lancer la suite du traitement.
Commentaire de blogue : Un commentaire publié peut déclencher une action dans un autre service que tu as configuré.
Signature HMAC : GitHub, Stripe, Facebook et SignNow joignent une signature HMAC dans un en-tête HTTP pour que tu puisses vérifier l'authenticité de l'appel.

Ce que ça permet

Un événement sur un site peut déclencher une action sur un autre.
Comme il repose sur HTTP, il s'intègre aux services web sans nouvelle infrastructure.
Le tiers qui le configure n'a pas besoin d'être affilié au site d'origine.
Il complète bien les API REST, et la moitié des équipes d'API sondées en 2025 disaient en utiliser.

Pièges à éviter

Sans authentification, n'importe qui peut se faire passer pour l'expéditeur (usurpation).
Sans vérification de l'horodatage, une requête interceptée peut être rejouée.
Une liste d'adresses IP autorisées ne suffit pas seule comme mesure de sécurité.
Laisser configurer une adresse de destination quelconque ouvre la porte à la falsification de requêtes côté serveur (SSRF), selon l'OWASP.
Il faut revérifier l'adresse IP résolue avant chaque livraison, pas seulement à l'enregistrement.

Pour ta PME

Une PME peut utiliser les webhooks pour relier ses outils, par exemple pour être avertie d'un achat ou d'un événement dans un autre service. Vérifie toujours la signature ou l'authentification des appels reçus. Fais aussi attention aux renseignements personnels qui circulent dans ces messages (Loi 25) et garde une approbation humaine avant toute action importante.

Sources : Wikipédia · mis à jour le 2026-11-06

Infolettre gratuite

« 5 prompts, 1 café »

Reçois 5 prompts prêts à copier chaque matin à 6 h 30.