Pobieraj swoje artykuły.
Publikuj je po swojemu.

Każde żądanie

Authorization: Bearer sns_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Accept: application/json

Sprawdź, czy działa

curl https://seonis.ai/api/v1/me \
  -H "Authorization: Bearer $SEONIS_API_KEY"

{
  "organisation": { "id": 12, "name": "Peppervale", "country": "GB" },
  "key": {
    "name": "Production build",
    "prefix": "sns_live_ab",
    "created_at": "2026-09-06T09:12:44+00:00",
    "last_used_at": "2026-09-06T09:31:02+00:00"
  },
  "sites": 2
}

Limit żądań

120 żądań na minutę, liczonych względem klucza, a nie adresu, z którego pochodzą, ponieważ uruchomienia buildów współdzielą adresy. Po przekroczeniu dostaną Państwo 429 ze standardowymi nagłówkami Retry-After i X-RateLimit. Pobieranie artykułów do buildu to kilka żądań, więc nie jest to limit, na który powinni Państwo trafić przypadkiem.

Nie przechowuj klucza w repozytorium

Odczytuje wszystko, co napisaliśmy dla Państwa konta, w tym artykuły, które nie są jeszcze opublikowane. Proszę umieścić go w środowisku buildu, a nie w kodzie źródłowym. Proszę unieważnić go tutaj od razu, gdy znajdzie się gdziekolwiek, gdzie nie powinien, a wszystko, co go używa, natychmiast dostanie 401.

Mogą Państwo używać API bez podłączania go: endpointy działają dla każdego konta z kluczem. Podłączenie go sprawia, że reszta produktu wie, że ma przestać oczekiwać własnego adresu, i to właśnie zapobiega liczeniu artykułu opublikowanego samodzielnie jako niepowodzenia.

webhook-id: 7c1e2f0a-3b5d-4e8f-9a61-2d4c8b0e5f13
webhook-timestamp: 1790490600
webhook-signature: v1,s0RzLJ1d7Cxd9nwe8pqER9DWy/stEIB+uT9MlGVLlM0=

Nagłówek	Co to jest
webhook-id	Dostawa, ta sama wartość co delivery_id w treści. Proszę zapamiętywać już obsłużone dostawy i odpowiadać na powtórkę kodem 200 bez ponownego wykonywania pracy.
webhook-timestamp	Moment podpisania, w pełnych sekundach od 1970 roku. Proszę odrzucać wszystko, co różni się od Państwa zegara o więcej niż pięć minut, aby nie dało się ponownie wysłać starej dostawy.
webhook-signature	v1, a potem base64 HMAC-SHA256 identyfikatora, znacznika czasu i surowej treści połączonych kropkami, utworzony Państwa kluczem podpisu. Może być ich więcej niż jeden, oddzielonych spacjami. Proszę przyjąć dostawę, jeśli zgadza się którykolwiek z nich.

Klucz podpisu

Zaczyna się od whsec_. Proszę to usunąć i zdekodować resztę z base64: te bajty są kluczem HMAC, a nie skopiowanym tekstem. Jest pokazywany tylko raz, gdy podłączają Państwo webhook albo naciskają "New signing key" na stronie Publishing, i nigdy go nie wysyłamy.

Sprawdź surową treść

Proszę obliczyć podpis z bajtów dokładnie w takiej postaci, w jakiej dotarły, zanim cokolwiek je przetworzy. JSON, który został zdekodowany i zakodowany ponownie, nie ma tych samych bajtów i jego podpis się nie zgodzi.

PHP

<?php
$raw = getenv('SEONIS_SIGNING_KEY'); // whsec_...

// No key, no deliveries. A missing or empty variable would otherwise become
// an empty HMAC key, and anybody can sign with that.
$secret = is_string($raw) && str_starts_with($raw, 'whsec_')
    ? base64_decode(substr($raw, strlen('whsec_')), true)
    : false;

if ($secret === false || strlen($secret) < 24) {
    http_response_code(500);
    exit('Signing key not configured.');
}

$id        = $_SERVER['HTTP_WEBHOOK_ID'] ?? '';
$timestamp = $_SERVER['HTTP_WEBHOOK_TIMESTAMP'] ?? '';
$header    = $_SERVER['HTTP_WEBHOOK_SIGNATURE'] ?? '';
$body      = file_get_contents('php://input');

if (! ctype_digit($timestamp) || abs(time() - (int) $timestamp) > 300) {
    http_response_code(401);
    exit('Too old.');
}

$expected = base64_encode(hash_hmac('sha256', "$id.$timestamp.$body", $secret, true));

$valid = false;
foreach (explode(' ', $header) as $signature) {
    [$version, $value] = array_pad(explode(',', $signature, 2), 2, '');
    $valid = $valid || ($version === 'v1' && hash_equals($expected, $value));
}

if (! $valid) {
    http_response_code(401);
    exit('Bad signature.');
}

$delivery = json_decode($body, true);

Node.js

import crypto from 'node:crypto';
import express from 'express';

const app = express();

// No key, no server. An empty variable would otherwise become an empty HMAC
// key, and anybody can sign with that.
const raw = process.env.SEONIS_SIGNING_KEY ?? '';
if (!raw.startsWith('whsec_')) throw new Error('SEONIS_SIGNING_KEY is not set.');
const key = Buffer.from(raw.slice('whsec_'.length), 'base64');
if (key.length < 24) throw new Error('SEONIS_SIGNING_KEY is not a valid key.');

// express.raw keeps the body as the bytes we signed.
app.post('/hooks/seonis', express.raw({ type: 'application/json' }), (req, res) => {
  const id = req.get('webhook-id') ?? '';
  const timestamp = req.get('webhook-timestamp') ?? '';
  const header = req.get('webhook-signature') ?? '';

  if (!/^\d+$/.test(timestamp) || Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(401).send('Too old.');
  }

  const expected = crypto.createHmac('sha256', key)
    .update(`${id}.${timestamp}.`)
    .update(req.body)
    .digest();

  const valid = header.split(' ').some((signature) => {
    const [version, value = ''] = signature.split(',');
    const given = Buffer.from(value, 'base64');
    return version === 'v1' && given.length === expected.length && crypto.timingSafeEqual(given, expected);
  });

  if (!valid) return res.status(401).send('Bad signature.');

  const delivery = JSON.parse(req.body);
  res.json({ ok: true });
});

Lub użyć biblioteki

Oficjalne biblioteki Standard Webhooks dla PHP, JavaScript, Python, Go, Ruby i innych języków robią to wszystko jednym wywołaniem. Proszę przekazać im klucz podpisu dokładnie tak, jak został Państwu pokazany, razem z whsec_. github.com/standard-webhooks

Starsze nagłówki

Dostawy zawierają też sekret podpisu jako token bearer oraz X-AutoSEO-LT-Signature, czyli HMAC samej treści utworzony tym sekretem. Nadal je wysyłamy, aby endpointy oparte na nich dalej działały. Nowy endpoint powinien zamiast tego sprawdzać webhook-signature: stary podpis nie obejmuje czasu ani identyfikatora, a jego klucz jest przesyłany w każdym żądaniu.

Formaty AutoSEO, Outrank i BabyLoveGrowth wysyłają dokładnie to, co wysłały te usługi, więc nie zawierają tych nagłówków.