Webhook とは？

APIは自分から「情報を取りに行く」仕組みで、Webhookは向こうから「変化があったら送ってくる」仕組みだよ。引き取りに行くか、配達してもらうかの違いをイメージすると分かりやすいかな。

GitHubにプッシュされたらCI/CDが自動で動く、Stripeで決済が完了したら注文確定メールを送る、Slackにメッセージが来たらBotが反応する、といった「○○が起きたら△△する」の自動化によく使われるよ。

ポーリングは「5秒ごとに変化がないか確認する」方式で、変化がなくても問い合わせが発生する。Webhookは変化があったときだけリクエストが来るから効率的なんだ。

これは見落とされやすいんだけど、Webhookを受け取るエンドポイントは誰でもリクエストを送れる状態になっているんだ。つまり悪意のある第三者が偽のWebhookを送ってきたとき、本物かどうかをどう確認するかが重要。多くのサービスでは「シークレット」という共有の鍵を使った署名をリクエストに付けて、受け取り側がその署名を検証するよ。GitHubならHMAC-SHA256で署名されたヘッダーがある。この検証をサボると偽の決済通知を本物として処理してしまう事故につながるんだよ。