Webhooks

Zuletzt aktualisiert: 2026-07-213 Min. Lesezeit

Lange Werkzeuge werden asynchron fertig. Statt abzufragen, tragen Sie einen Webhook ein: GREM schickt dann bei Abschluss einer Aufgabe ein Ereignis per POST an Ihre Adresse.

Einen Endpunkt eintragen

Im Kabinett unter KI-Werkzeuge → API → Webhooks: Tragen Sie eine öffentliche https://-Adresse ein und wählen Sie die gewünschten Ereignisse. Ein Geheimnis für die Signatur (whsec_…) erscheint einmal - bewahren Sie es auf, um Zustellungen zu prüfen.

Ereignisse folgen dem Aufbau <Quelle>.<Ergebnis>. Verfügbar sind:

Werkzeuge:

valuation.completed, valuation.failed
content.completed, content.partial, content.failed
text.completed, text.failed
photo.completed, photo.failed
avatar.completed, avatar.failed
video.completed, video.failed
floorplan.completed, floorplan.failed
review.completed, review.failed
pdf.completed, pdf.failed

Objekte: object.created, object.updated, object.published, object.deleted.

Leads: lead.created, lead.updated. Sie tragen keine persönlichen Daten - nur einen Verweis auf den geänderten Lead.

Der Inhalt

Jede Zustellung ist ein POST mit einem JSON-Körper:

{
  "id": "…",
  "type": "content.completed",
  "createdAt": "2026-07-21T10:00:00.000Z",
  "data": { }
}

Und mit diesen Köpfen:

x-grem-event: content.completed
x-grem-signature: t=1721556000,v1=3b78a03b78058d229023db2a0b4ee072…

Die Signatur prüfen

Prüfen Sie die Signatur immer, bevor Sie einer Zustellung trauen. Die Signatur ist ein HMAC-SHA256 über die Zeichenkette "<t>.<roher Körper>" mit dem Geheimnis Ihres Webhooks als Schlüssel. t ist ein Unix-Zeitstempel; weisen Sie alte Stempel ab, um eine Wiedereinspielung zu verhindern.

Prüfen Sie gegen den rohen Körper der Anfrage genau so, wie er angekommen ist - vor jedem Auswerten des JSON. Ein erneutes Serialisieren ändert die Bytes, und die Signatur passt nicht mehr.

Node.js (Express)

const crypto = require('crypto');

function verifyGremSignature(secret, header, rawBody, toleranceSec = 300) {
  // header: "t=<unix>,v1=<hex>"
  const parts = Object.fromEntries(header.split(',').map((kv) => kv.split('=')));
  const t = Number(parts.t);
  if (!t || Math.abs(Date.now() / 1000 - t) > toleranceSec) return false; // stale
  const expected = crypto.createHmac('sha256', secret).update(`${t}.${rawBody}`).digest('hex');
  const a = Buffer.from(expected);
  const b = Buffer.from(parts.v1 || '');
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

// Capture the RAW body for this route.
app.post('/grem-hook', express.raw({ type: 'application/json' }), (req, res) => {
  const raw = req.body.toString('utf8');
  if (!verifyGremSignature(process.env.GREM_WEBHOOK_SECRET, req.get('x-grem-signature'), raw)) {
    return res.status(400).send('invalid signature');
  }
  const event = JSON.parse(raw);
  // handle event.type / event.data …
  res.sendStatus(200);
});

Python (Flask)

import hmac, hashlib, time
from flask import Flask, request

def verify_grem_signature(secret, header, raw_body, tolerance=300):
    parts = dict(kv.split('=', 1) for kv in header.split(','))
    t = int(parts.get('t', 0))
    if not t or abs(time.time() - t) > tolerance:
        return False  # stale
    expected = hmac.new(secret.encode(), f"{t}.{raw_body}".encode(), hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, parts.get('v1', ''))

app = Flask(__name__)

@app.post('/grem-hook')
def grem_hook():
    raw = request.get_data(as_text=True)  # RAW body, before parsing
    if not verify_grem_signature(GREM_WEBHOOK_SECRET, request.headers.get('x-grem-signature', ''), raw):
        return 'invalid signature', 400
    event = request.get_json()
    # handle event['type'] / event['data'] …
    return '', 200

Zustellung, Wiederholungen und Sicherheit

Antworten Sie schnell mit einem Status 2xx. Die schwere Arbeit erledigen Sie asynchron.
Misslungene Zustellungen werden mit wachsendem Abstand wiederholt; nach wiederholten Fehlschlägen wird der Endpunkt abgeschaltet und Sie werden benachrichtigt.
Endpunkte müssen öffentliche https://-Adressen sein. Private, lokale und interne Adressen werden abgelehnt (Schutz vor SSRF).
Das Geheimnis der Signatur lässt sich im Reiter Webhooks jederzeit wechseln; mit Test senden lösen Sie eine Beispielzustellung aus, und im Protokoll sehen Sie die Zustellungen.

War dieser Artikel hilfreich?