Kann Metrunio mein System benachrichtigen?

Das ist die Gegenrichtung zu „Kann mein System Conversions per Webhook melden?“: Dort meldet dein System an Metrunio, hier meldet Metrunio an dein System. Webhooks gibt es ab Growth, zusammen mit der Lese-Schnittstelle und MCP.

{
  "id": "conversion:5f0c…",
  "type": "conversion.created",
  "created_at": "2026-10-10T09:41:00.000Z",
  "data": {
    "conversion_id": "5f0c…",
    "type": "purchase",
    "order_id": "10045",
    "value": 89.9,
    "set_value": 0,
    "currency": "EUR",
    "environment": "production"
  }
}

Signatur prüfen

Jede Zustellung trägt den Kopf x-metrunio-signature mit t=<Sekunden>,v1=<hex>. v1 ist HMAC-SHA256 über "<t>.<roher Body>" mit deinem Signiergeheimnis, gebildet wie bei eingehenden Anfragen. Prüfe die Signatur am rohen Body, bevor du ihn verarbeitest, und verwirf Zustellungen, deren Zeitstempel älter als fünf Minuten ist.

import { createHmac, timingSafeEqual } from 'node:crypto';

export function verify(header, rawBody, secret) {
  const parts = Object.fromEntries(header.split(',').map((part) => part.split('=')));
  if (Math.abs(Date.now() / 1000 - Number(parts.t)) > 300) return false;
  const expected = createHmac('sha256', secret).update(`${parts.t}.${rawBody}`).digest();
  const received = Buffer.from(parts.v1 ?? '', 'hex');
  return received.length === expected.length && timingSafeEqual(received, expected);
}

Das Signiergeheimnis zeigt das Portal genau einmal, beim Anlegen. Geht es verloren, erneuerst du es mit „Geheimnis erneuern“; das alte gilt danach nicht mehr.

Zustellung und Wiederholung

• Eine Antwort mit 2xx gilt als zugestellt. Sonst wiederholt Metrunio nach 1, 5, 15 und 60 Minuten, dann nach 3, 6 und 12 Stunden; nach 24 Stunden gibt es auf.
• Jeder Versuch trägt dieselbe Kennung (id im Body, x-metrunio-delivery im Kopf). Verarbeite ein Ereignis nur einmal.
• Zehn Sekunden je Versuch. Einer Weiterleitung folgt Metrunio nicht.
• Nur https über Port 443. Adressen im eigenen Netz (localhost, private Adressen) erreicht Metrunio nicht.
• Mit „Testzustellung senden“ geht ein signiertes Ereignis ping an die Adresse; das Protokoll zeigt die letzten 50 Zustellungen.

• Nur Produktivdaten: Ein Live-Test der Einrichtung löst keinen Webhook aus.
• Höchstens fünf Webhooks je Unternehmen.
• Das Protokoll bleibt 30 Tage. Den Inhalt einer Zustellung bewahrt Metrunio nur auf, bis sie zugestellt, aufgegeben oder verworfen ist.
• Löschst du unter „Datenschutz“ die Daten zu einer Bestellnummer oder führst einen Widerspruch aus, verwirft Metrunio wartende Zustellungen dazu, auch Wiederholungen. Dasselbe gilt, wenn ein Besucher seine Einwilligung widerruft und die Bestellung deshalb gelöscht wird. Im Protokoll steht die Zustellung dann als „nicht gesendet (Datenschutz)“.
• Vor jedem Versuch prüft Metrunio außerdem, ob die Bestellnummer inzwischen gesperrt oder die Bestellung gelöscht ist. Dann geht nichts hinaus.
• Was schon zugestellt war, hält Metrunio beim Vollzug fest: Ziel, Adresse und Zeitpunkt stehen im Änderungsprotokoll beim Vorgang (180 Tage) und in der Antwort der Schnittstelle. So kannst du den Empfänger nach Art. 19 DSGVO informieren. Das Zustellprotokoll selbst bleibt 30 Tage.
• Sinkt dein Tarif unter Growth, gehen keine neuen Zustellungen mehr hinaus; die Webhooks bleiben angelegt.

Zapier und Make nehmen Webhooks über ein eigenes Modul an (bei Zapier „Webhooks by Zapier“, bei Make „Webhooks“). Die Adresse, die es dir gibt, trägst du hier ein.