Installation
Wie signiere ich serverseitige Anfragen?
Du sendest den Kopf x-metrunio-signature mit Zeitstempel und HMAC-SHA256 über "<Zeitstempel>.<roher Body>", berechnet mit dem Serverschlüssel. Das Zeitfenster beträgt fünf Minuten, und jede Signatur wird genau einmal akzeptiert.
Wie funktioniert die HMAC-Signatur und der Replay-Schutz?
x-metrunio-signature: t=<unix-sekunden>,v1=<hex>
v1 = HMAC-SHA256(server_key, "<t>.<roher Body>")- Signiert wird der rohe Body, byte-genau, vor jeder Umformatierung.
- Der Zeitstempel liegt höchstens fünf Minuten zurück oder in der Zukunft.
- Jede Signatur wird nur einmal akzeptiert; eine Wiederholung ergibt REPLAY_DETECTED.
- Für /v1/server/events ist die Signatur optional, für /v1/webhooks/conversions verpflichtend.
Achtung
Formatiert ein Framework den Body vor dem Signieren um (etwa durch erneutes JSON-Serialisieren), stimmt die Signatur nicht mehr. Signiere genau die Bytes, die du sendest.
Zuletzt geprüft am 12.10.2026
Ebenfalls gefragt
- HMAC Signatur berechnen
- Replay-Schutz
- Wie sichere ich den Webhook ab?
Weiterführende Artikel
- Wie melde ich Conversions serverseitig?
Wie sende ich Events aus meinem Shop, CRM oder Backend?
Über POST /v1/server/events an den Collector, mit dem Serverschlüssel im Authorization-Header. Die Adresse und den fertigen Aufruf für deine Website zeigt das Portal unter „Einrichtung“ im Reiter „Server Events API“. Der Aufruf ist unabhängig vom Browser und damit robust gegenüber Adblockern und kurzlebigen Cookies.
- Kann mein System Conversions per Webhook melden?
Wann nehme ich den Webhook statt der Server Events API?
Der Endpunkt POST /v1/webhooks/conversions ist für Systeme gedacht, die von sich aus einen Webhook auslösen, statt einen API-Aufruf zu programmieren. Er verlangt zwingend eine gültige Signatur.
- Wie rotiere oder widerrufe ich einen Schlüssel?
Was tue ich, wenn ein Schlüssel versehentlich veröffentlicht worden ist?
Schreibschlüssel und Serverschlüssel erneuerst du in der Einrichtung, den Serverschlüssel im Reiter „Server Events API“, wo du ihn auch widerrufst. Lese-Schlüssel widerrufst du unter „Exporte & KI-Verbindungen“ im Abschnitt „API-Zugang“ und legst dort einen neuen an. Ein neuer Schlüssel steht nur einmal vollständig da, und der alte gilt sofort nicht mehr.