Comment utiliser : Testeur de webhook
- Votre URL de webhook unique est créée automatiquement — cliquez sur Copier l’URL.
- Collez-la dans les paramètres de webhook du service que vous testez (GitHub, Stripe, Shopify, Slack, Zapier…) ou appelez-la avec curl.
- Les requêtes apparaissent en direct à gauche. Cliquez sur l’une d’elles pour voir ses en-têtes, sa chaîne de requête et son corps.
- Collez votre clé de signature dans Vérifier la signature pour contrôler le HMAC envoyé par l’émetteur.
Qu’est-ce qu’un testeur de webhook ?
Un webhook est une requête HTTP qu’un service envoie à votre URL lorsqu’un événement se produit : un paiement réussit, du code est poussé, une commande est passée. Pendant que vous développez le récepteur, vous devez voir exactement ce qui arrive : quels en-têtes, quelle structure JSON, comment la signature est calculée. Un testeur de webhook vous fournit une URL publique temporaire qui enregistre chaque requête afin que vous puissiez l’inspecter, sans écrire ni déployer de code.
Ce que vous pouvez inspecter
- Méthode et chemin — tout ce qui suit votre URL est capturé ; vous pouvez utiliser
/orders,/refundsetc. pour distinguer les événements. - En-têtes — type de contenu, user agent, noms d’événements (
X-GitHub-Event,Stripe-Signature,X-Shopify-Topic) et identifiants de livraison. - Chaîne de requête et corps — le JSON est mis en forme, les envois de formulaires sont décodés dans un tableau, les corps binaires sont affichés en base64.
- Vérification de signature — recalcule le HMAC-SHA256 envoyé par le fournisseur, à partir de votre clé de signature, entièrement dans votre navigateur.
Schémas de signature pris en charge
| Fournisseur | En-tête | Élément signé |
|---|---|---|
| GitHub | X-Hub-Signature-256: sha256=… | Corps brut, hexadécimal |
| Stripe | Stripe-Signature: t=…,v1=… | timestamp.body, hexadécimal |
| Shopify | X-Shopify-Hmac-Sha256 | Corps brut, base64 |
| Générique | n’importe quel en-tête de votre choix | Corps brut, hexadécimal ou base64 |
Tester depuis votre ordinateur portable
Les fournisseurs de webhooks ne peuvent pas atteindre localhost. Utilisez cette URL pour découvrir d’abord le format des données, puis développez votre gestionnaire et testez-le en local avec la CLI du fournisseur (stripe listen, gh webhook forward) ou avec un tunnel. Vérifiez toujours les signatures et répondez rapidement avec un statut 2xx : la plupart des fournisseurs relancent en cas de délai dépassé ou d’erreur.
Limites et confidentialité
Chaque URL conserve ses 50 dernières requêtes pendant 24 heures, accepte des corps allant jusqu’à 256 Ko et jusqu’à 120 requêtes par minute. L’URL elle-même sert de clé : toute personne qui la possède peut y envoyer des données et voir ses requêtes. N’envoyez donc pas de données clients réelles ni de secrets de production. Mettez en forme les charges utiles capturées avec le formateur JSON, décodez les jetons avec le décodeur JWT ou générez des HMAC avec le générateur HMAC.
Aussi recherché comme : webhook site, tester un webhook, url webhook, request bin, inspecter requête http, débogueur webhook, test webhook stripe.
Outils complémentaires : Testeur de webhook
- Vérificateur d'en-têtes HTTP — Saisissez une URL et découvrez exactement ce que le serveur renvoie : code de statut, chaîne de redirections et chaque en-tête de réponse, avec une explication claire de ceux qui comptent pour le SEO, le cache et la sécurité.
- cURL vers code — Collez une commande curl, issue de la documentation d’une API ou de l’option « Copier en tant que cURL » des outils de développement de votre navigateur, et obtenez du code prêt à l’emploi pour six langages, avec les en-têtes, le corps de requête et l’authentification repris à l’identique.
- Analyseur d’en-têtes e-mail — Collez les en-têtes bruts d’un e-mail pour voir tout son parcours : chaque saut entre serveurs avec le temps qu’il a pris, les résultats SPF, DKIM et DMARC, l’IP d’origine et les signaux d’alerte, comme une adresse Reply-To ou Return-Path incohérente.
- Recherche de type MIME — Recherchez parmi plus de 200 extensions de fichiers et types MIME — .webp, .woff2, .webmanifest, application/wasm … — ou glissez-déposez un fichier pour détecter son type réel à partir de ses premiers octets.