# Webhook : qu'est-ce que c'est et à quoi ça sert ?

> Un webhook envoie un avis automatique dès qu'un événement survient dans un logiciel. Fonctionnement, exemple chiffré pour une PME et pièges de sécurité.

Mis à jour le 15 octobre 2026 · https://app.pilotiko.com/glossaire/webhook

Un webhook est un mécanisme par lequel un logiciel envoie automatiquement une requête HTTP contenant des données à une adresse Web choisie dès qu'un événement précis se produit, comme un paiement reçu ou une réservation créée. Le système qui reçoit l'avis n'a donc pas besoin d'interroger le logiciel source à répétition.

## En bref
- On s'abonne une fois à un événement ; les avis arrivent ensuite d'eux-mêmes.
- Le webhook complète l'API : il pousse l'information au lieu d'attendre qu'on la demande.
- Il faut vérifier la signature de chaque message reçu.
- Un bon récepteur répond vite et sait traiter deux fois le même avis.

## Comment un webhook fonctionne-t-il ?

La documentation de GitHub résume bien le principe : on s'abonne à des événements qui se produisent dans un système logiciel et on reçoit automatiquement une livraison de données sur son serveur chaque fois qu'ils surviennent. L'intérêt est de recevoir l'information au moment où elle se produit, au lieu d'interroger une [API](https://app.pilotiko.com/glossaire/api) de temps en temps pour voir s'il y a du nouveau [1].

À la création du webhook, on indique une adresse (URL) et les événements qui nous intéressent. Quand l'un d'eux arrive, le logiciel source envoie une requête HTTP avec les détails de l'événement à cette adresse. Le serveur qui écoute peut alors agir : envoyer un avis, mettre à jour une fiche, lancer une étape suivante [1].

Beaucoup de [logiciels-services](https://app.pilotiko.com/glossaire/saas) offrent des webhooks. Ils servent souvent à créer un [bon de travail](https://app.pilotiko.com/glossaire/bon-de-travail) dès qu'une réservation arrive, ou à prévenir la personne qui prépare une [soumission](https://app.pilotiko.com/glossaire/soumission).

## Quels événements déclenchent un webhook dans une PME de services ?

| Événement dans le logiciel source | Données envoyées | Réaction possible |
|---|---|---|
| Paiement par carte accepté | Montant, client, numéro de facture | Marquer la facture payée dans la comptabilité |
| Réservation créée sur le site | Date, service, coordonnées | Créer le bon de travail du technicien |
| Formulaire de soumission rempli | Besoin décrit, adresse | Avertir la personne qui prépare la soumission |
| Abonnement annulé | Client, date de fin | Retirer le client des tournées prévues |

Les événements offerts dépendent entièrement de chaque logiciel ; consultez sa documentation.

## Que se passe-t-il si le serveur récepteur est en panne ?

Les bons fournisseurs réessaient. Stripe, par exemple, indique qu'en mode réel il tente de livrer un événement pendant un maximum de trois jours, avec des délais qui s'allongent entre les essais ; dans son environnement de test, il réessaie trois fois en quelques heures [2].

Conséquence pratique : le même avis peut arriver plus d'une fois. Le récepteur doit reconnaître un événement déjà traité pour ne pas, par exemple, créer deux fois la même facture.

## Combien d'appels inutiles un webhook évite-t-il ?

**Calcul : une clinique de physiothérapie de 3 salles à Rimouski qui synchronise ses réservations**

- Option 1 : interroger l'API toutes les 5 minutes, 12 h par jour : 144 appels par jour
- Nouvelles réservations réelles par jour (hypothèse) : 18
- Appels sans aucune nouveauté (144 − 18) : 126
- Option 2 : webhook sur l'événement « réservation créée » : 18 avis par jour
- Délai maximal pour voir une réservation, option 1 : jusqu'à 5 minutes
- **= Le webhook transmet seulement les 18 événements utiles, au moment où ils arrivent, au lieu de 144 vérifications dont 126 ne trouvent rien.**

## Quelles erreurs de sécurité et de conception sont fréquentes ?

- Accepter tout message reçu à l'adresse du webhook sans vérifier sa signature : n'importe qui pourrait envoyer un faux « paiement reçu ».
- Modifier le corps brut du message avant de vérifier la signature : Stripe précise que toute modification fait échouer la vérification [2].
- Faire tout le traitement avant de répondre : chez certains fournisseurs, une réponse trop lente peut être comptée comme un échec et provoquer un nouvel envoi.
- Ne pas gérer les doublons, alors que les nouvelles tentatives sont normales.
- Brancher une [automatisation](https://app.pilotiko.com/glossaire/automatisation-processus) qui écrit à un client dès la réception, sans contrôle humain.

## Pilotiko utilise-t-il des webhooks ?

Le registre des capacités de Pilotiko ne décrit aucun webhook offert aux clients ; nous n'en annonçons donc pas. Notre position sur les envois est en revanche claire : dans Pilotiko, ce qui touche un client, de l'argent ou un envoi attend l'[approbation d'une personne](https://app.pilotiko.com/glossaire/approbation-humaine), même si l'information est arrivée automatiquement.

## Questions fréquentes

### Quelle est la différence entre un webhook et une API ?

Avec une API, votre programme pose la question quand il le décide. Avec un webhook, le logiciel source vous prévient de lui-même quand un événement se produit. Les deux se complètent souvent : le webhook signale le changement, l'API sert ensuite à lire le détail.

### Faut-il un serveur pour recevoir un webhook ?

Il faut une adresse Web accessible qui écoute les requêtes, que ce soit votre propre serveur, une fonction hébergée ou un outil d'automatisation. Cette adresse doit être en HTTPS pour protéger les données transmises.

### Un webhook est-il instantané ?

Il part au moment de l'événement, mais le délai réel dépend du fournisseur et du réseau. En cas de panne du récepteur, l'avis peut arriver beaucoup plus tard, après de nouvelles tentatives.

### Comment savoir si un webhook vient vraiment du bon logiciel ?

La plupart des fournisseurs signent chaque message avec un secret que vous êtes seul à connaître. Votre récepteur recalcule la signature et rejette tout message qui ne correspond pas.

### Les webhooks conviennent-ils à une petite entreprise ?

Oui, surtout par l'entremise d'outils d'automatisation qui fournissent l'adresse de réception à votre place. Commencez par un seul événement utile, comme une nouvelle réservation, et vérifiez le résultat pendant quelques semaines.

## Sources

1. GitHub Docs, « About webhooks », https://docs.github.com/en/webhooks/about-webhooks (consulté le 2026-10-15)
2. Stripe Docs, « Receive Stripe events in your webhook endpoint », https://docs.stripe.com/webhooks (consulté le 2026-10-15)