Webhook : qu'est-ce que c'est et à quoi ça sert ?
Plutôt que de demander sans arrêt « du nouveau ? », votre logiciel est prévenu au moment même où quelque chose se passe.
Un webhook est un mécanisme par lequel un logiciel envoie automatiquement une requête HTTP contenant des données à une adresse Web choisie dès qu'un événement précis se produit, comme un paiement reçu ou une réservation créée. Le système qui reçoit l'avis n'a donc pas besoin d'interroger le logiciel source à répétition.
En bref
- On s'abonne une fois à un événement ; les avis arrivent ensuite d'eux-mêmes.
- Le webhook complète l'API : il pousse l'information au lieu d'attendre qu'on la demande.
- Il faut vérifier la signature de chaque message reçu.
- Un bon récepteur répond vite et sait traiter deux fois le même avis.
Comment un webhook fonctionne-t-il ?
La documentation de GitHub résume bien le principe : on s'abonne à des événements qui se produisent dans un système logiciel et on reçoit automatiquement une livraison de données sur son serveur chaque fois qu'ils surviennent. L'intérêt est de recevoir l'information au moment où elle se produit, au lieu d'interroger une API de temps en temps pour voir s'il y a du nouveau [1].
À la création du webhook, on indique une adresse (URL) et les événements qui nous intéressent. Quand l'un d'eux arrive, le logiciel source envoie une requête HTTP avec les détails de l'événement à cette adresse. Le serveur qui écoute peut alors agir : envoyer un avis, mettre à jour une fiche, lancer une étape suivante [1].
Beaucoup de logiciels-services offrent des webhooks. Ils servent souvent à créer un bon de travail dès qu'une réservation arrive, ou à prévenir la personne qui prépare une soumission.
Quels événements déclenchent un webhook dans une PME de services ?
| Événement dans le logiciel source | Données envoyées | Réaction possible |
|---|---|---|
| Paiement par carte accepté | Montant, client, numéro de facture | Marquer la facture payée dans la comptabilité |
| Réservation créée sur le site | Date, service, coordonnées | Créer le bon de travail du technicien |
| Formulaire de soumission rempli | Besoin décrit, adresse | Avertir la personne qui prépare la soumission |
| Abonnement annulé | Client, date de fin | Retirer le client des tournées prévues |
Les événements offerts dépendent entièrement de chaque logiciel ; consultez sa documentation.
Que se passe-t-il si le serveur récepteur est en panne ?
Les bons fournisseurs réessaient. Stripe, par exemple, indique qu'en mode réel il tente de livrer un événement pendant un maximum de trois jours, avec des délais qui s'allongent entre les essais ; dans son environnement de test, il réessaie trois fois en quelques heures [2].
Conséquence pratique : le même avis peut arriver plus d'une fois. Le récepteur doit reconnaître un événement déjà traité pour ne pas, par exemple, créer deux fois la même facture.
Combien d'appels inutiles un webhook évite-t-il ?
Quelles erreurs de sécurité et de conception sont fréquentes ?
- Accepter tout message reçu à l'adresse du webhook sans vérifier sa signature : n'importe qui pourrait envoyer un faux « paiement reçu ».
- Modifier le corps brut du message avant de vérifier la signature : Stripe précise que toute modification fait échouer la vérification [2].
- Faire tout le traitement avant de répondre : chez certains fournisseurs, une réponse trop lente peut être comptée comme un échec et provoquer un nouvel envoi.
- Ne pas gérer les doublons, alors que les nouvelles tentatives sont normales.
- Brancher une automatisation qui écrit à un client dès la réception, sans contrôle humain.
Pilotiko utilise-t-il des webhooks ?
Le registre des capacités de Pilotiko ne décrit aucun webhook offert aux clients ; nous n'en annonçons donc pas. Notre position sur les envois est en revanche claire : dans Pilotiko, ce qui touche un client, de l'argent ou un envoi attend l'approbation d'une personne, même si l'information est arrivée automatiquement.
Questions fréquentes
Quelle est la différence entre un webhook et une API ?
Avec une API, votre programme pose la question quand il le décide. Avec un webhook, le logiciel source vous prévient de lui-même quand un événement se produit. Les deux se complètent souvent : le webhook signale le changement, l'API sert ensuite à lire le détail.
Faut-il un serveur pour recevoir un webhook ?
Il faut une adresse Web accessible qui écoute les requêtes, que ce soit votre propre serveur, une fonction hébergée ou un outil d'automatisation. Cette adresse doit être en HTTPS pour protéger les données transmises.
Un webhook est-il instantané ?
Il part au moment de l'événement, mais le délai réel dépend du fournisseur et du réseau. En cas de panne du récepteur, l'avis peut arriver beaucoup plus tard, après de nouvelles tentatives.
Comment savoir si un webhook vient vraiment du bon logiciel ?
La plupart des fournisseurs signent chaque message avec un secret que vous êtes seul à connaître. Votre récepteur recalcule la signature et rejette tout message qui ne correspond pas.
Les webhooks conviennent-ils à une petite entreprise ?
Oui, surtout par l'entremise d'outils d'automatisation qui fournissent l'adresse de réception à votre place. Commencez par un seul événement utile, comme une nouvelle réservation, et vérifiez le résultat pendant quelques semaines.
Sources
- GitHub Docs, About webhooks (consulté le 15 octobre 2026).
- Stripe Docs, Receive Stripe events in your webhook endpoint (consulté le 15 octobre 2026).
À lire ensuite
API : qu'est-ce qu'une interface de programmation ?
Qu'est-ce qu'une API ? Le contrat qui permet à deux logiciels d'échanger des données, avec un exemple chiffré de PME québécoise et les erreurs fréquentes.
Automatisation des processus : RPA, flux de travail ou agent IA ?
Automatiser un processus : l'ARP (RPA), le flux de travail par règles et l'agent IA comparés, avec un calcul pour une PME québécoise et les erreurs à éviter.
SaaS : qu'est-ce qu'un logiciel-service ?
SaaS ou logiciel-service : ce que c'est, en quoi il diffère d'un logiciel installé, un calcul d'abonnement pour une PME québécoise et les pièges du contrat.
OAuth : comment relier deux applications sans partager son mot de passe ?
OAuth relie deux applications sans donner son mot de passe. Fonctionnement, jetons et portées, exemple pour une PME québécoise et erreurs à éviter.