# API : webhooks, événements et signatures

_API · Lecture de 7 min · Mis à jour 2026-10-22 · https://lanachat.ai/guides/fr/api-webhooks/_

Un **webhook** envoie un `POST` HTTPS à votre serveur lorsqu’un événement survient dans l’espace de travail : une nouvelle conversation, une vente, un média prêt, un compte qui a perdu sa connexion. Vous choisissez les événements ; LanaChat signe chaque envoi pour que vous puissiez vérifier qu’il vient bien de nous, et réessaie si votre serveur ne répond pas.

## Endpoints

| Méthode | Chemin | Description | Permission | Statut |
|---|---|---|---|---|
| GET | `/webhooks` | Liste des endpoints webhook | `owner` | Planned |
| POST | `/webhooks` | Ajouter un endpoint : URL et événements (le secret de signature est affiché une fois) | `owner` | Planned |
| GET | `/webhooks/{id}` | Un endpoint et son taux de livraison sur 7 jours | `owner` | Planned |
| PATCH | `/webhooks/{id}` | Modifier son URL ou ses événements, le mettre en pause ou le reprendre | `owner` | Planned |
| DELETE | `/webhooks/{id}` | Supprimer un endpoint | `owner` | Planned |
| POST | `/webhooks/{id}/rotate-secret` | Nouveau secret de signature ; l’ancien fonctionne encore 24 heures | `owner` | Planned |
| POST | `/webhooks/{id}/test` | Envoyer un événement `ping` immédiatement | `owner` | Planned |
| GET | `/webhooks/{id}/deliveries` | Livraisons récentes, leur statut et la réponse de votre serveur | `owner` | Planned |
| POST | `/webhooks/{id}/deliveries/{delivery_id}/retry` | Renvoyer une livraison | `owner` | Planned |

## Événements

| Événement | Envoyé quand | Permission requise pour les données |
|---|---|---|
| `conversation.started` | Un fan écrit pour la première fois (avec `source_link_id` si connu) | `can_fan_read` |
| `conversation.needs_review` | Une conversation passe en statut Review ou Safety hold | `can_fan_read` |
| `conversation.taken_over` | Une personne prend ou rend une conversation | `can_fan_read` |
| `message.received` | Un fan envoie un message | `can_fan_read` |
| `sale.completed` | Un achat vérifié (Stars ou lien de paiement) | `can_sales_read` |
| `sale.refunded` | Un remboursement est confirmé | `can_sales_read` |
| `media.ready` | Un média uploadé est traité ou a échoué | `can_setup` |
| `account.health_changed` | Un compte devient connecté, en attente ou expiré | `can_setup` |
| `pool.saturated` | Un pool atteint 95 % de sa capacité horaire, ou le plafond de l’espace de travail | `can_tracking` |
| `brain.published` | Un brouillon de brain est publié | `can_engine` |
| `billing.low_balance` | Le solde descend sous le montant des 7 prochains jours de licences | `owner` |
| `ping` | Vous avez appuyé sur Test | aucune |

Un endpoint reçoit un événement uniquement si le token qui l’a créé a la permission requise par les données.

## L’objet endpoint webhook

```json
{
  "id": "wh_12",
  "url": "https://hooks.mia-agency.com/lanachat/webhook",
  "events": ["sale.completed", "sale.refunded", "conversation.needs_review"],
  "status": "active",
  "delivery_rate_7d": 0.998,
  "created_at": "2026-10-01T09:00:00Z"
}
```

| Champ | Type | Description |
|---|---|---|
| `id` | string | L’identifiant de l’endpoint |
| `url` | string | Votre URL HTTPS |
| `events` | tableau de chaînes | Les événements reçus (voir le tableau ci-dessus) |
| `status` | string | `active` ou `paused` (par vous, ou après 3 jours d’échecs) |
| `delivery_rate_7d` | nombre | Part des livraisons répondues par un code `2xx` sur 7 jours, de 0 à 1 |
| `created_at` | string | ISO 8601, UTC |

## Gérer les endpoints

Tous ces appels nécessitent un token **owner**.

### Ajouter un endpoint

`POST /webhooks` · `owner`

| Paramètre | Type | Obligatoire | Description |
|---|---|---|---|
| `url` | string | Oui | Une URL HTTPS de votre serveur |
| `events` | tableau de chaînes | Oui | Les événements à recevoir |

```bash
curl -X POST https://api.lanachat.ai/v1/webhooks \
  -H "Authorization: Bearer $LANACHAT_TOKEN" \
  -H "Idempotency-Key: $(uuidgen)" \
  -H "Content-Type: application/json" \
  -d '{"url": "https://hooks.mia-agency.com/lanachat/webhook", "events": ["sale.completed", "sale.refunded"]}'
```

La réponse contient l’endpoint (`201`) et son **secret de signature**, affiché une seule fois : stockez-le immédiatement, à côté de votre token. Un nom d’événement inconnu répond `400`.

### Lister, lire, modifier et supprimer

| Appel | Fonction |
|---|---|
| `GET /webhooks` | Tous les endpoints de l’espace de travail |
| `GET /webhooks/{id}` | Un endpoint et son taux de livraison sur 7 jours |
| `PATCH /webhooks/{id}` | Modifier `url` ou `events` ; mettre en pause ou reprendre avec `status` |
| `DELETE /webhooks/{id}` | Supprimer l’endpoint ; plus rien n’est envoyé |

```bash
curl -X PATCH https://api.lanachat.ai/v1/webhooks/wh_12 \
  -H "Authorization: Bearer $LANACHAT_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"status": "active"}'
```

### Faire pivoter le secret

`POST /webhooks/{id}/rotate-secret` · `owner`

```bash
curl -X POST https://api.lanachat.ai/v1/webhooks/wh_12/rotate-secret \
  -H "Authorization: Bearer $LANACHAT_TOKEN" \
  -H "Idempotency-Key: $(uuidgen)"
```

La réponse contient le nouveau secret, une seule fois. L’ancien fonctionne encore 24 heures, pour que vous puissiez déployer le nouveau sans perdre de livraison.

### Envoyer un test

`POST /webhooks/{id}/test` · `owner`

```bash
curl -X POST https://api.lanachat.ai/v1/webhooks/wh_12/test \
  -H "Authorization: Bearer $LANACHAT_TOKEN" \
  -H "Idempotency-Key: $(uuidgen)"
```

Votre serveur reçoit un événement `ping` en quelques secondes, signé comme toute autre livraison.

### Livraisons et réessais

`GET /webhooks/{id}/deliveries` liste les livraisons récentes, leur statut et la réponse de votre serveur. `POST /webhooks/{id}/deliveries/{delivery_id}/retry` renvoie une livraison, par exemple après correction d’un bug.

```bash
curl -X POST https://api.lanachat.ai/v1/webhooks/wh_12/deliveries/dlv_5f21a9/retry \
  -H "Authorization: Bearer $LANACHAT_TOKEN" \
  -H "Idempotency-Key: $(uuidgen)"
```

## Une livraison

```http
POST /lanachat/webhook HTTP/1.1
Host: hooks.mia-agency.com
Content-Type: application/json
LanaChat-Event: sale.completed
LanaChat-Delivery: dlv_5f21a9
LanaChat-Signature: t=1759762800,v1=5257a869e7ecebeda32affa62cdca3fa51cad7e77a0e56ff536d0ce8e108d8bd
```

```json
{
  "id": "evt_31877",
  "type": "sale.completed",
  "created_at": "2026-10-06T15:00:00Z",
  "workspace_id": "ws_7Hq2",
  "data": {
    "sale_id": "sale_8812", "fan_id": "fan_921", "creator_id": "cr_lea", "account_id": "acc_1001",
    "conversation_id": "conv_1001_88231", "stars": 300, "net_cents": 390, "sent_by": "ai", "kind": "offer"
  }
}
```

Chaque événement a la même enveloppe : `id`, `type`, `created_at`, `workspace_id` et `data`. `data` contient l’objet concerné par l’événement, avec les champs retournés par l’API correspondante.

## Contenu de chaque événement

`conversation.started` : la [conversation](https://lanachat.ai/guides/fr/api-conversations/), avec le lien d’origine.

```json
{ "id": "evt_31801", "type": "conversation.started", "created_at": "2026-10-06T14:01:12Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "conv_1001_88231", "fan_id": "fan_921", "creator_id": "cr_lea", "account_id": "acc_1001", "state": "ai", "source_link_id": "lnk_3" } }
```

`conversation.needs_review` : la conversation et son nouveau statut.

```json
{ "id": "evt_31840", "type": "conversation.needs_review", "created_at": "2026-10-06T14:20:00Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "conv_1001_88231", "creator_id": "cr_lea", "account_id": "acc_1001", "state": "off", "status": { "tag": "review", "reason": "The fan asked for a refund." } } }
```

`conversation.taken_over` : qui tient la conversation maintenant (`state` est `human` quand une personne la prend, `ai` quand elle est rendue).

```json
{ "id": "evt_31852", "type": "conversation.taken_over", "created_at": "2026-10-06T14:04:00Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "conv_1001_88231", "state": "human", "taken_by": "tok_31", "taken_at": "2026-10-06T14:04:00Z" } }
```

`message.received` : le message du fan.

```json
{ "id": "evt_31860", "type": "message.received", "created_at": "2026-10-06T14:02:10Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "msg_77119", "conversation_id": "conv_1001_88231", "from": "fan", "text": "show me more", "at": "2026-10-06T14:02:10Z" } }
```

`sale.completed` et `sale.refunded` : la vente, comme dans la livraison ci-dessus. Un remboursement porte le même `sale_id` que la vente annulée.

`media.ready` : le [média](https://lanachat.ai/guides/fr/api-vault/), `status` `ready` ou `failed`.

```json
{ "id": "evt_31870", "type": "media.ready", "created_at": "2026-10-06T14:22:05Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "med_5521", "creator_id": "cr_lea", "type": "photo", "status": "ready", "folder_id": "vf_3" } }
```

`account.health_changed` : le [compte Telegram](https://lanachat.ai/guides/fr/api-telegram-accounts/) et sa nouvelle `health`.

```json
{ "id": "evt_31881", "type": "account.health_changed", "created_at": "2026-10-06T15:10:00Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "acc_1004", "creator_id": "cr_lea", "username": "lea_backup", "health": "expired" } }
```

`pool.saturated` : le [pool](https://lanachat.ai/guides/fr/api-telegram-accounts/) et sa charge.

```json
{ "id": "evt_31890", "type": "pool.saturated", "created_at": "2026-10-06T21:00:00Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "pool_lea_fr_instagram", "creator_id": "cr_lea", "sent_last_hour": 381, "capacity_per_hour": 400, "status": "saturated" } }
```

`brain.published` : le [brain](https://lanachat.ai/guides/fr/api-ai-brains/) et sa nouvelle version.

```json
{ "id": "evt_31901", "type": "brain.published", "created_at": "2026-10-06T14:20:03Z", "workspace_id": "ws_7Hq2",
  "data": { "id": "br_lea_main", "version": 13, "published_at": "2026-10-06T14:20:03Z" } }
```

`billing.low_balance` : votre [solde](https://lanachat.ai/guides/fr/api-billing/).

```json
{ "id": "evt_31910", "type": "billing.low_balance", "created_at": "2026-10-06T08:00:00Z", "workspace_id": "ws_7Hq2",
  "data": { "balance_cents": 2900 } }
```

`ping` : envoyé par **Test** ; `data` est vide.

```json
{ "id": "evt_31920", "type": "ping", "created_at": "2026-10-06T16:00:00Z", "workspace_id": "ws_7Hq2", "data": {} }
```

## Vérifier la signature

`LanaChat-Signature` contient un timestamp `t` et `v1`, le HMAC-SHA256 de `t + "." + raw body` avec le secret de signature de votre endpoint, en hexadécimal.

En Node (tout framework qui vous donne le corps brut) :

```js
import { createHmac, timingSafeEqual } from 'node:crypto';

// rawBody: the request body as received (Buffer or string), before any JSON parsing
export function verify(rawBody, header, secret) {
  const parts = (header || '').split(',').map((p) => p.trim().split('='));
  const t = parts.find(([k]) => k === 't')?.[1];
  const signatures = parts.filter(([k]) => k === 'v1').map(([, v]) => v);   // two during a secret rotation
  if (!t || !(Math.abs(Date.now() / 1000 - Number(t)) < 300)) return false;  // older than 5 minutes: refuse
  const want = createHmac('sha256', secret).update(t + '.').update(rawBody).digest('hex');
  return signatures.some((v) => v.length === want.length && timingSafeEqual(Buffer.from(v), Buffer.from(want)));
}
```

Un récepteur complet avec Express :

```js
import express from 'express';
import { verify } from './verify.js';

const app = express();
const seen = new Set();   // use your database in production

app.post('/lanachat/webhook', express.raw({ type: 'application/json' }), (req, res) => {
  if (!verify(req.body, req.get('LanaChat-Signature'), process.env.LANACHAT_WEBHOOK_SECRET)) return res.sendStatus(400);
  const event = JSON.parse(req.body);
  res.sendStatus(200);                       // answer fast, work after
  if (seen.has(event.id)) return;            // the same event can arrive twice
  seen.add(event.id);
  if (event.type === 'sale.completed') console.log('New sale', event.data.stars, 'Stars for', event.data.creator_id);
});

app.listen(3000);
```

En Python, avec Flask :

```python
import hashlib
import hmac
import json
import os
import time

from flask import Flask, abort, request

app = Flask(__name__)
SECRET = os.environ["LANACHAT_WEBHOOK_SECRET"].encode()

def verify(raw_body: bytes, header: str) -> bool:
    parts = [p.strip().split("=", 1) for p in (header or "").split(",") if "=" in p]
    t = next((v for k, v in parts if k == "t"), None)
    signatures = [v for k, v in parts if k == "v1"]  # two during a secret rotation
    if not t or abs(time.time() - int(t)) >= 300:    # older than 5 minutes: refuse
        return False
    want = hmac.new(SECRET, t.encode() + b"." + raw_body, hashlib.sha256).hexdigest()
    return any(hmac.compare_digest(want, v) for v in signatures)

@app.post("/lanachat/webhook")
def webhook():
    raw = request.get_data()
    if not verify(raw, request.headers.get("LanaChat-Signature")):
        abort(400)
    event = json.loads(raw)
    if event["type"] == "sale.completed":
        print("New sale", event["data"]["stars"], "Stars for", event["data"]["creator_id"])
    return "", 200
```

- Calculez-la sur le corps brut, avant tout parsing JSON.
- Refusez un timestamp plus vieux que 5 minutes : cela empêche une réutilisation.
- Pendant une rotation de secret, les livraisons portent deux valeurs `v1` ; acceptez l’une ou l’autre.

## Réessais

- Répondez à tout code `2xx` dans les 10 secondes. Toute autre réponse, ou absence de réponse, est un échec.
- Une livraison échouée est réessayée 8 fois sur environ 24 heures (1 min, 5 min, 30 min, 2 h, 5 h, 10 h, 14 h, 24 h).
- Le même événement peut arriver deux fois : utilisez `id` pour ignorer les doublons. L’ordre n’est pas garanti : utilisez `created_at`.
- Après 3 jours d’échecs, l’endpoint est mis en pause et le propriétaire reçoit un e-mail ; reprenez-le avec `PATCH /webhooks/{id}`.

## Articles liés

- [API LanaChat : démarrage rapide, authentification et erreurs](https://lanachat.ai/guides/fr/api-overview/)
- [Recettes rapides API : copier, coller, exécuter](https://lanachat.ai/guides/fr/api-recipes/)
- [API : fans, conversations et messages](https://lanachat.ai/guides/fr/api-conversations/)