BLOG · 2026-06-03
Cualquiera puede disparar mi webhook
Muchas automatizaciones tienen una puerta de entrada por internet: una dirección secreta que, cuando alguien la «llama», pone en marcha el proceso. Se llama webhook. El problema es que muchas de esas puertas no tienen candado: cualquiera que descubra la dirección puede activar tu automatización las veces que quiera.
Qué es un webhook (sin tecnicismos)
Imagina un timbre. Cuando alguien lo pulsa, en tu casa pasa algo: suena, se enciende una luz, se abre la puerta. Un webhook es eso para tus automatizaciones: una dirección de internet que, al recibir una llamada, dispara una acción — crear un pedido, enviar un email, registrar un pago.
Es comodísimo: permite que tus herramientas se avisen entre sí solas. El peligro es cuando ese timbre no comprueba quién lo está pulsando.
El problema: un timbre que cualquiera puede pulsar
Si tu webhook acepta cualquier llamada sin verificar de dónde viene, estás confiando en que nadie descubra la dirección. Y eso es muy mala idea, porque:
- Las direcciones se filtran: aparecen en logs, en código compartido, en copias de pantalla.
- Hay quien las busca a propósito, probando direcciones comunes a lo bestia.
- Una sola dirección filtrada le da a un atacante un botón para activar tu proceso a voluntad.
«Es secreta» no es un candado. Es esconder la llave debajo del felpudo.
Qué puede hacer alguien con tu webhook abierto
- Dispararlo mil veces. Si tu automatización envía emails o usa un servicio de pago, te puede vaciar el saldo o achicharrar a tus clientes a correos.
- Colarte datos falsos. Crear pedidos que no existen, marcar pagos que no se hicieron, meter basura en tu base de datos.
- Tumbarte el sistema. A base de llamadas masivas, dejarte la automatización (o la web entera) de rodillas.
Cómo se pone el candado
La buena noticia: cerrar un webhook es relativamente sencillo si se hace al montarlo.
- Una firma secreta. El servicio que llama y tu automatización comparten una clave. Cada llamada llega «firmada», y si la firma no cuadra, se ignora. Cualquiera que no tenga la clave queda fuera.
- Un límite de llamadas. Aunque la firma sea correcta, poner un tope evita que una avalancha de llamadas te tumbe.
- Comprobar que el contenido tiene sentido. Aunque la puerta sea legítima, revisar que lo que entra es coherente antes de actuar.
- Que no haga daño si se repite. Que recibir la misma llamada dos veces no cobre dos veces (esto enlaza con los duplicados).
Por qué esto es seguridad de verdad
Un webhook abierto es una de esas puertas traseras que nadie mira hasta que entra alguien. No sale en las noticias como los grandes hackeos, pero es de las formas más cómodas que tiene un atacante de meterse en tus procesos. Y muchas automatizaciones montadas con prisa lo tienen abierto sin saberlo.
Cuando montamos automatizaciones, cada puerta de entrada lleva su candado desde el primer día: firma, límite de llamadas y revisión de lo que entra. Porque dejar un webhook abierto es como tener una puerta automática en el almacén que se abre con cualquier mando — tarde o temprano, alguien prueba el suyo.