Guía · Automatización y agentes
Webhooks explicados para dueños de negocio
Qué es un webhook, en qué se diferencia de consultar una API, qué papel cumple en automatizaciones con WhatsApp, CRM y formularios y cómo asegurarlo.
Un webhook es un aviso automático que un sistema envía a otro cuando ocurre algo: llegó un mensaje, se envió un formulario, se pagó un pedido. En lugar de preguntar cada minuto si hay novedades, tu sistema recibe el aviso al instante. Es la pieza que conecta la mayoría de las automatizaciones.
Concepto
Webhook frente a consulta periódica
| Modelo | Cómo funciona | Cuándo usarlo |
|---|---|---|
| Webhook | El sistema origen avisa cuando pasa algo | Eventos que deben reaccionar rápido |
| Consulta periódica | Tu sistema pregunta cada cierto tiempo | Cuando el origen no ofrece avisos |
Ejemplo
Un caso cotidiano
Una persona escribe a tu número de WhatsApp. La plataforma envía un aviso con el mensaje a una dirección web que tú configuraste. Esa dirección pertenece a tu herramienta de automatización, que lee el aviso, guarda el contacto en el CRM y decide si responde una persona o un asistente. La documentación técnica de este mecanismo para WhatsApp está en developers.facebook.com/docs/whatsapp.
Seguridad
Cómo asegurarlo
- Usa siempre HTTPS en la dirección que recibe avisos.
- Verifica la firma o el secreto que el origen envía, para confirmar que el aviso es legítimo.
- No publiques la dirección del webhook en lugares abiertos.
- Valida el formato de los datos antes de actuar.
- Registra los avisos recibidos y responde rápido para evitar reenvíos.
- Rota los secretos si sospechas que se filtraron.
Problemas
Problemas frecuentes
- El aviso llega duplicado: haz que tu flujo sea idempotente, como en errores y reintentos.
- El aviso no llega: comprueba que la dirección es pública, responde y tiene certificado válido.
- Llega pero no se procesa: revisa el formato esperado.
- Tarda mucho: responde de inmediato y procesa después.
Si integras WhatsApp con tu CRM, revisa el paso a paso en integrar la API de WhatsApp con tu CRM.
Si trabajas con un proveedor que configura integraciones por ti, pregúntale qué webhooks usa, dónde se reciben y cómo se protegen. Debes poder responder tres cosas: qué eventos se envían, a qué sistema y quién tiene acceso a los datos. Pide también que se documente cómo desactivar el webhook en una emergencia. Esta información forma parte del inventario de tu infraestructura y se vuelve imprescindible si cambias de proveedor. Un webhook olvidado que apunta a un servicio abandonado puede filtrar datos sin que nadie lo note.
Lista de comprobación final:
- Inventario de webhooks con su destino.
- Secreto o firma verificados.
- Procedimiento para desactivarlos.
Resumen
En resumen
- Un caso cotidiano: Una persona escribe a tu número de WhatsApp.
- Cómo asegurarlo: Usa siempre HTTPS en la dirección que recibe avisos.; Verifica la firma o el secreto que el origen envía, para confirmar que el aviso es legítimo.
- Problemas frecuentes: El aviso llega duplicado: haz que tu flujo sea idempotente, como en errores y reintentos.; El aviso no llega: comprueba que la dirección es pública, responde y tiene certificado válido.
Preguntas frecuentes
Lo que suelen preguntar sobre qué es un webhook
¿Necesito saber programar para usar webhooks?
No para recibirlos en herramientas visuales, que ofrecen una dirección lista para pegar.
¿Un webhook es lo mismo que una API?
No. Una API es una puerta para pedir o enviar datos; un webhook es un aviso que el sistema te manda cuando ocurre un evento.
¿Los webhooks tienen costo?
Depende del servicio origen y de la herramienta que los reciba; revisa las condiciones de cada proveedor.