Webhook Workbench
Open source · отладка вебхуков на Go
Приватный инструмент на собственном сервере: принимает, показывает, проверяет и безопасно переотправляет вебхуки. Один бинарник на Go без зависимостей со встроенным интерфейсом.
Задача
Для отладки вебхуков часто приходится отправлять реальные данные в сторонний сервис.
Решение
Бинарник на Go на вашем сервере: принимает, проверяет и безопасно переотправляет вебхуки, скрывая секреты до сохранения.
Под капотом
Тесты покрывают скрытие секретов, проверку подписей, переотправку и защиту от SSRF. Релизные бинарники с контрольными суммами; публичная песочница.
Обзор
Webhook Workbench принимает входящие вебхуки на любом канале и показывает для каждого запроса декодированное тело, заголовки со скрытыми секретами и готовую команду cURL для воспроизведения. Это один бинарник на Go — только стандартная библиотека, интерфейс встроен внутрь, — и по умолчанию он слушает только localhost.
Подписи проверяются по точному сохранённому телу запроса для профилей GitHub, Stripe (с пятиминутным окном приёма) и произвольного HMAC-SHA-256; секрет используется один раз и нигде не сохраняется. Сохранённые запросы можно переотправить на выбранный адрес, но осторожно: частные, loopback- и не-HTTP-адреса отклоняются, DNS перепроверяется при подключении, число редиректов ограничено, а заголовки авторизации, cookie и hop-by-hop удаляются.
История событий ограничена по размеру и хранится в локальном JSON-снимке, бинарные тела сохраняются в base64, есть health-проба. Docker-конфигурация работает без root, со сброшенными capabilities и корневой файловой системой только для чтения; тесты покрывают скрытие секретов, проверку подписей, переотправку и защиту от SSRF.
Что делает
- Принимает запросы любым HTTP-методом на /inbox/{channel} и показывает трафик в реальном времени
- Проверяет подписи GitHub, Stripe и произвольные HMAC-SHA-256
- Безопасно переотправляет запросы с защитой от SSRF
- Скрывает секреты до сохранения; опциональная авторизация по bearer-токену
Что дальше
Ищете full-stack, Python- или AI-разработчика — или нужно сделать что-то похожее? Давайте обсудим.
Готов приступить сразу: офис или гибрид в Москве, либо удалённо; полная занятость или контракт. Отвечаю в течение 48 часов, в Telegram — быстрее.