Забирайте Ваші статті.
Публікуйте їх по-своєму.

Кожен запит

Authorization: Bearer sns_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Accept: application/json

Перевірте, що це працює

curl https://seonis.ai/api/v1/me \
  -H "Authorization: Bearer $SEONIS_API_KEY"

{
  "organisation": { "id": 12, "name": "Peppervale", "country": "GB" },
  "key": {
    "name": "Production build",
    "prefix": "sns_live_ab",
    "created_at": "2026-09-06T09:12:44+00:00",
    "last_used_at": "2026-09-06T09:31:02+00:00"
  },
  "sites": 2
}

Ліміт запитів

120 запитів за хвилину, рахуються за ключем, а не за адресою, з якої вони надходять, бо збирачі збірок використовують спільні адреси. Понад це Ви отримаєте 429 зі стандартними заголовками Retry-After і X-RateLimit. Отримання статей для збірки - це лише кілька запитів, тож випадково впертися в цей ліміт Ви не повинні.

Не зберігайте ключ у Вашому репозиторії

Він читає все, що ми написали для Вашого облікового запису, зокрема статті, які ще не опубліковані. Зберігайте його у Вашому середовищі збірки, а не у вихідному коді. Відкличте його тут одразу, щойно він опиниться там, де не повинен бути, і все, що його використовує, відразу отримає 401.

Ви можете користуватися API, не підключаючи його: endpoint працюють для будь-якого облікового запису з ключем. Підключення потрібне, щоб решта продукту знала, що більше не треба очікувати власну адресу, і саме воно не дає зараховувати статтю, яку Ви опублікували самі, як помилку.

webhook-id: 7c1e2f0a-3b5d-4e8f-9a61-2d4c8b0e5f13
webhook-timestamp: 1790490600
webhook-signature: v1,s0RzLJ1d7Cxd9nwe8pqER9DWy/stEIB+uT9MlGVLlM0=

Заголовок	Що це
webhook-id	Доставка, те саме значення, що й delivery_id у тілі. Запам’ятовуйте ті, які Ви вже обробили, і відповідайте на повтор 200, не виконуючи роботу знову.
webhook-timestamp	Коли ми це підписали, у цілих секундах від 1970 року. Відхиляйте все, що відрізняється від Вашого часу більш ніж на п’ять хвилин, щоб стару доставку не можна було надіслати Вам знову.
webhook-signature	v1, потім base64 HMAC-SHA256 від id, часової позначки й необробленого тіла, з’єднаних крапками, створений Вашим ключем підпису. Їх може бути кілька, розділених пробілами. Приймайте доставку, якщо збігається будь-який із них.

Ключ підпису

Він починається з whsec_. Приберіть це й декодуйте решту з base64: ці байти і є ключем HMAC, а не текст, який Ви скопіювали. Він показується один раз, коли Ви підключаєте webhook або натискаєте "New signing key" на сторінці Publishing, і ми ніколи його не надсилаємо.

Перевірте необроблене тіло

Обчислюйте підпис за байтами саме в тому вигляді, у якому вони надійшли, перш ніж щось їх розбере. JSON, який декодували й закодували знову, уже не є тими самими байтами, і його підпис не збігатиметься.

PHP

<?php
$raw = getenv('SEONIS_SIGNING_KEY'); // whsec_...

// No key, no deliveries. A missing or empty variable would otherwise become
// an empty HMAC key, and anybody can sign with that.
$secret = is_string($raw) && str_starts_with($raw, 'whsec_')
    ? base64_decode(substr($raw, strlen('whsec_')), true)
    : false;

if ($secret === false || strlen($secret) < 24) {
    http_response_code(500);
    exit('Signing key not configured.');
}

$id        = $_SERVER['HTTP_WEBHOOK_ID'] ?? '';
$timestamp = $_SERVER['HTTP_WEBHOOK_TIMESTAMP'] ?? '';
$header    = $_SERVER['HTTP_WEBHOOK_SIGNATURE'] ?? '';
$body      = file_get_contents('php://input');

if (! ctype_digit($timestamp) || abs(time() - (int) $timestamp) > 300) {
    http_response_code(401);
    exit('Too old.');
}

$expected = base64_encode(hash_hmac('sha256', "$id.$timestamp.$body", $secret, true));

$valid = false;
foreach (explode(' ', $header) as $signature) {
    [$version, $value] = array_pad(explode(',', $signature, 2), 2, '');
    $valid = $valid || ($version === 'v1' && hash_equals($expected, $value));
}

if (! $valid) {
    http_response_code(401);
    exit('Bad signature.');
}

$delivery = json_decode($body, true);

Node.js

import crypto from 'node:crypto';
import express from 'express';

const app = express();

// No key, no server. An empty variable would otherwise become an empty HMAC
// key, and anybody can sign with that.
const raw = process.env.SEONIS_SIGNING_KEY ?? '';
if (!raw.startsWith('whsec_')) throw new Error('SEONIS_SIGNING_KEY is not set.');
const key = Buffer.from(raw.slice('whsec_'.length), 'base64');
if (key.length < 24) throw new Error('SEONIS_SIGNING_KEY is not a valid key.');

// express.raw keeps the body as the bytes we signed.
app.post('/hooks/seonis', express.raw({ type: 'application/json' }), (req, res) => {
  const id = req.get('webhook-id') ?? '';
  const timestamp = req.get('webhook-timestamp') ?? '';
  const header = req.get('webhook-signature') ?? '';

  if (!/^\d+$/.test(timestamp) || Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(401).send('Too old.');
  }

  const expected = crypto.createHmac('sha256', key)
    .update(`${id}.${timestamp}.`)
    .update(req.body)
    .digest();

  const valid = header.split(' ').some((signature) => {
    const [version, value = ''] = signature.split(',');
    const given = Buffer.from(value, 'base64');
    return version === 'v1' && given.length === expected.length && crypto.timingSafeEqual(given, expected);
  });

  if (!valid) return res.status(401).send('Bad signature.');

  const delivery = JSON.parse(req.body);
  res.json({ ok: true });
});

Або використайте бібліотеку

Офіційні бібліотеки Standard Webhooks для PHP, JavaScript, Python, Go, Ruby та інших мов роблять усе це одним викликом. Передайте їм ключ підпису саме в тому вигляді, у якому його було показано Вам, включно з whsec_. github.com/standard-webhooks

Старіші заголовки

Доставки також містять секрет підпису як bearer token і X-AutoSEO-LT-Signature, HMAC лише тіла, створений цим секретом. Їх і далі надсилають, щоб кінцеві точки, побудовані на них, продовжували працювати. Нова кінцева точка має натомість перевіряти webhook-signature: старий підпис не охоплює ні час, ні id, а його ключ передається в кожному запиті.

Формати AutoSEO, Outrank і BabyLoveGrowth надсилають рівно те, що надіслали ті сервіси, тому ці заголовки в них відсутні.