Cómo usar: Webhook Tester
- Tu URL de webhook única se crea automáticamente — haz clic en Copiar URL.
- Pégala en la configuración de webhooks del servicio que estás probando (GitHub, Stripe, Shopify, Slack, Zapier…) o llámala con curl.
- Las peticiones aparecen en vivo a la izquierda. Haz clic en una para ver sus cabeceras, query string y cuerpo.
- Pega tu secreto de firma en Verificar firma para comprobar el HMAC que envió el emisor.
¿Qué es un probador de webhooks?
Un webhook es una petición HTTP que un servicio envía a tu URL cuando ocurre algo: un pago se completa, se sube código o se realiza un pedido. Mientras desarrollas el receptor, necesitas ver exactamente qué llega: qué cabeceras, qué forma tiene el JSON y cómo se calcula la firma. Un probador de webhooks te da una URL pública temporal que registra cada petición para que la inspecciones, sin escribir ni desplegar código.
Qué puedes inspeccionar
- Método y ruta — todo lo que va después de tu URL se captura, así que puedes usar
/orders,/refundsetc. para distinguir eventos. - Cabeceras — tipo de contenido, user agent, nombres de eventos (
X-GitHub-Event,Stripe-Signature,X-Shopify-Topic) e IDs de entrega. - Query string y cuerpo — el JSON se muestra formateado, los envíos de formularios se decodifican en una tabla y los cuerpos binarios se muestran en base64.
- Comprobación de firma — recalcula el HMAC-SHA256 que envió el proveedor, usando tu secreto de firma, íntegramente en tu navegador.
Esquemas de firma compatibles
| Proveedor | Cabecera | Qué se firma |
|---|---|---|
| GitHub | X-Hub-Signature-256: sha256=… | Cuerpo sin procesar, hex |
| Stripe | Stripe-Signature: t=…,v1=… | timestamp.body, hex |
| Shopify | X-Shopify-Hmac-Sha256 | Cuerpo sin procesar, base64 |
| Genérico | cualquier cabecera que elijas | Cuerpo sin procesar, hex o base64 |
Probar desde tu portátil
Los proveedores de webhooks no pueden acceder a localhost. Usa esta URL para aprender primero el formato del payload, luego construye tu manejador y pruébalo en local con la CLI del proveedor (stripe listen, gh webhook forward) o con un túnel. Verifica siempre las firmas y responde rápidamente con un estado 2xx: la mayoría de proveedores reintenta cuando hay timeouts o errores.
Límites y privacidad
Cada URL conserva sus últimas 50 peticiones durante 24 horas, acepta cuerpos de hasta 256 KB y hasta 120 peticiones por minuto. La propia URL es la clave: cualquiera que la tenga puede enviar datos a ella y ver sus peticiones, así que no envíes datos reales de clientes ni secretos de producción. Formatea los payloads capturados con el formateador JSON, decodifica tokens con el decodificador JWT o genera HMAC con el generador HMAC.
También se busca como: probar webhook, webhook site, url webhook, request bin, inspeccionar petición http, depurador de webhooks, probar webhook stripe.
Herramientas que combinan con: Webhook Tester
- Comprobador de cabeceras HTTP — Introduce cualquier URL y mira exactamente lo que devuelve el servidor: código de estado, cadena de redirecciones y todas las cabeceras de respuesta, con una explicación sencilla de las que importan para el SEO, la caché y la seguridad.
- cURL a código — Pega un comando curl, ya sea de la documentación de una API o de «Copiar como cURL» en las DevTools de tu navegador, y obtén código listo para ejecutar en seis lenguajes, con las cabeceras, el cuerpo y la autenticación incluidos.
- Analizador de cabeceras de email — Pega las cabeceras sin procesar de un email para ver todo su recorrido: cada salto entre servidores con el tiempo que tardó, los resultados de SPF, DKIM y DMARC, la IP de origen y señales de alerta como un Reply-To o un Return-Path que no coinciden.
- Búsqueda de tipos MIME — Busca entre más de 200 extensiones de archivo y tipos MIME — .webp, .woff2, .webmanifest, application/wasm … — o arrastra un archivo para detectar su tipo real a partir de los primeros bytes.