HTTP-Webhooks

Inbound- und Sync-Webhooks verlangen standardmäßig das Secret der Verbindung als X-Connic-Secret Header (empfohlen), als Authorization: Bearer Header oder als Query-Parameter. Require Authentication kann deaktiviert werden, wenn eine Middleware Before Function die Anfrage validiert, bevor sie den Agenten erreicht.

Outbound-Zustellungen werden signiert. Jede Anfrage, die Connic per POST an den konfigurierten Endpoint sendet, enthält einen X-Connic-Signature Header mit einer hexadezimal codierten HMAC-SHA256-Signatur sowie einen X-Connic-Timestamp Header. Zur Prüfung wird HMAC-SHA256 über den Timestamp, einen Punkt und den unveränderten Body berechnet. Timestamps, die älter als 5 Minuten sind, lassen sich zum Schutz vor Replay-Angriffen ablehnen. Endpoints in privaten Netzwerken sind über eine Connic Bridge erreichbar.

Ein JSON Body wird unverändert an den Agenten übergeben, Formularfelder werden zu Key-Value-Paaren und Query-Parameter werden bei GET-Anfragen mitgegeben. Das Secret ist davon ausgenommen. Bei multipart Uploads liegen Textfelder auf der obersten Ebene der Payload und Dateien base64-codiert unter dem Key files; jede Datei wird dem Modell als Inline-Daten übergeben. Bilder, PDFs, Office-Dokumente und Datendateien werden bis zu 10 MB pro Datei unterstützt.

Jede authentifizierte Anfrage wird zu einem normalen Agent Run. Die Anfrage erscheint in der Run History mit vollständigen Traces, Token- und Kosten-Tracking sowie denselben Guardrails und Approval-Regeln wie jeder andere Trigger. Inbound-Antworten enthalten die gestarteten run_ids, Sync-Antworten direkt das output des Runs. Webhook-Dokumentation: Anfrage- und Antwortformate.