Webhook Mimarisi Nedir: Polling vs Event-Driven

Geleneksel API mimarilerinde veri kontrolü polling yöntemiyle periyodik GET istekleri atılarak yapılır. Modern web standartlarında bu yöntem kaynak israfına ve gecikmelere yol açar. Webhook, bir olay gerçekleştiğinde hedef sunucuya HTTP POST isteği gönderen olay güdümlü (event-driven) mimaridir.

Gereksiz API sorgularını sıfıra indirir. Sistem kaynaklarını korur, veri senkronizasyonunu anlık hale getirir.

Adım Adım Webhook Altyapısı Kurulumu

Adım 1: Payload ve Olay Yapısını Belirleme

Veri gönderen sistemde (Producer) olay formatı JSON olarak standartlaştırılır. Olay türü, zaman damgası ve veri yükü net tanımlanmalıdır.

event_id: Benzersiz işlem kimliği (Idempotency kontrolü için).
event: Gerçekleşen olay adı (örn: order.completed).
timestamp: Unix zaman damgası.
data: Olay detaylarını içeren ana gövde.

Adım 2: Alıcı Uç Noktası (Receiver Endpoint) Oluşturma

Hedef sistemde (Consumer) webhook isteklerini karşılayan HTTP POST rotası açılır. Bu uç nokta hızlıca 200 OK dönmelidir; ağır işlemler arka plana (background job) devredilir.

Adım 3: Güvenlik ve İmza Doğrulama (HMAC)

Webhook isteklerinin güvenliği için HMAC-SHA256 kullanılır. Producer, payload verisini gizli bir anahtar (secret key) ile hash'ler ve X-Signature başlığına ekler. Consumer gelen isteği aynı secret ile hash'leyip karşılaştırır.

Doğrulama adımları:

Ham istek gövdesini (raw body) alın.
Secret key kullanarak SHA256 hash hesaplayın.
Gelen imza ile hesaplanan imzayı sabit zamanlı karşılaştırma (timing attack koruması) ile eşleştirin.

Adım 4: Kuyruk (Queue) ve Yeniden Deneme (Retry) Stratejisi

Hedef sunucu geçici olarak devre dışı kalabilir. Güvenilir webhook mimarisi üstel geri çekilme (exponential backoff) mantığıyla yeniden deneme yapar. Redis/RabbitMQ tabanlı bir kuyruk sistemi üzerinden istekler yönetilmelidir.

Dijital Ajans Projelerinde Webhook Trendleri ve En İyi Pratikler

Bir dijital ajans için ölçeklenebilir e-ticaret, CRM veya ödeme entegrasyonlarında webhook kullanımı kaçınılmazdır. Sektördeki trendler ve dikkat edilmesi gereken pratikler:

Idempotency: Aynı webhook iki kez gelirse çift işlem yapılmasını engellemek için event_id veritabanında kontrol edilmelidir.
Timeout Yönetimi: Webhook alıcıları maksimum 2-3 saniye içinde yanıt dönmelidir.
Monitoring: Başarısız webhook iletimleri loglanmalı ve Dead Letter Queue (DLQ) içine aktarılmalıdır.

Bu rehber adımları takip edilerek kurulan webhook altyapıları, mikroservisler ve harici SaaS servisleri arasında yüksek performanslı ve güvenilir iletişim sağlar.