Trigger Webhook

Le webhook expose une URL HTTPS unique par workflow (ou par environnement). Un appel POST valide crée un run avec le corps de requête dans le contexte du trigger.

⚡ URL et méthode

Après activation, Knot affiche :

l’URL complète (copier depuis l’UI, ne pas la reconstruire à la main) ;
la méthode attendue (POST en général) ;
le format de corps (JSON recommandé).

Exemple de payload partenaire :

{
  "event": "order.paid",
  "order_id": "ORD-2026-0042"
}

Accède aux champs via {{ trigger.body.order_id }} (nom exact selon l’inspecteur Simulate).

⚡ Signature HMAC

Pour prouver l’origine de l’appel :

Knot fournit un secret (à stocker côté émetteur).
L’émetteur calcule HMAC-SHA256 du corps brut avec ce secret.
Il envoie la signature dans un header (X-Knot-Signature ou nom documenté dans ta version).

Knot rejette les requêtes sans signature valide — réponse 401/403 selon configuration.

⚡ Sécurisation

Mesure	Pourquoi
HTTPS obligatoire	Confidentialité du payload
Secret fort	Anti-spoofing
Rate limiting	Anti-abus (selon version / reverse proxy)
IP allowlist optionnelle	Partenaire fixe uniquement

Teste avec curl depuis un poste autorisé avant de brancher l’outil SaaS.

⚡ Différence avec le connector HTTP

Webhook (cette page) = entrée vers Knot (trigger).
Connector HTTP = sortie depuis Knot vers une API externe.