Входящий вебхук Дополнительные REST-методы открывает методы инфоблоков тому, кто знает URL. Это не «техническая строка для SEO». Код плюс ID пользователя (фактически пароль на каталог приёмника). Модуль бесплатный, цена ошибки та же, что у платного обмена: чужой выгрузит или затрёт витрину.
После «Сохранить» запишите код в менеджер паролей. В тикет поддержки достаточно факта, что /rest/ID/код/profile/ открывается, и маскированного хвоста. Полный URL (вместе с доступами по закрытому каналу, не в публичном комментарии Маркета).
Под каким пользователем жать «Сохранить»
- постоянная учётка с правом на инфоблок, не «admin на час» подрядчика;
- не делите один вебхук с фрилансером «на выходные»;
- уволили человека (смените секрет и поправьте профиль +API на доноре);
- не кладите код в репозиторий темы и в issue-трекер;
- HTTPS на приёмнике обязателен, если донор ходит снаружи.
ID в адресе (это пользователь, создавший вебхук, не «номер сайта»). Удалили пользователя 1, оставили URL /rest/1/… — дверь закрылась. На доноре cron продолжит писать отказ, пока не перепишете пару ID+код.
Что вебхук не ограничивает сам
В карточке модуля нет конструктора «разрешить только чтение раздела 5». Право (на методы restext). Фильтр «какие SKU едут» живёт в профиле +API на доноре. Защита витрины приёмника от случайного затира (в ключах товара и в том, кто имеет админку, не в «сложном коде из восьми букв»).
Проверка системы Битрикса и монитор производительности должны быть зелёные. Дырявый PHP и открытый /bitrix/ на мир (отдельный разговор с хостингом). restext это не чинит. Настройка сервера у АКРИТ платная, см. услуги студии.
После переезда на новый хостинг
Скопировали сайт (старый вебхук в базе может остаться, а путь /rest/ на новом nginx ещё не открыт). Сначала проверочный URL, потом рабочий cron. Сменили домен (поправьте поле адреса в профиле донора в тот же день).
Версия 1.1.1, 100–499 установок. Поддержка +7 499 938 8452, пн–пт 10:00–17:00. Без админки и FTP бесплатно «нас взломали через вебхук» не разбирают: не видно, чей ID и жив ли /profile/.
Ротация секрета без простоя витрины
Сменить код лучше в окно, когда cron донора выключен. Порядок: стоп расписания, новое сохранение настроек restext, правка профиля +API, проверка /profile/, узкий прогон, старт cron. Иначе утренний агент стучится в старый секрет и пишет отказ, а вы думаете, что виноват фильтр.
Не держите рабочий вебхук на общем FTP-пользователе, пароль которого уже светился в пяти тикетах. Смена FTP не меняет код REST, но показывает, как на площадке относятся к секретам. Вебхук ротируйте так же, как пароль админки, если подрядчик закончил договор.
HTTPS с чужим именем сертификата «пока сойдёт» ломает клиентов на доноре. Браузер админа мог нажать «продолжить». Клиент PHP на доноре — нет. После выпуска нормального сертификата снова /profile/ и узкий прогон. 100–499 установок модуля не отменяют эту проверку на вашем хосте.
Возврат к списку
