Alterar webhook
PATCH /webhooks
Altera os campos enviados; os ausentes ficam como estão.
- Qualquer alteração zera as falhas em
healthe religa um webhook que a api desligou. rotate_secret: truetroca o segredo na hora (o antigo para de valer); só então a resposta traz osecretinteiro.- Trocando a
url, mande os headers de novo com os valores: sem eles, são apagados.
Num webhook v1 (format: v1), só enabled vale: pausa ou volta a entregar (e zera as falhas, como o /webhook). Os outros campos respondem 400; altere-os no /webhook.
Autenticação
[
{
"token": []
}
]
{
"token": {
"name": "token",
"type": "apiKey",
"in": "header"
}
}
Corpo da requisição
{
"required": true,
"content": {
"application/json": {
"schema": {
"type": "object",
"additionalProperties": false,
"properties": {
"webhook_id": {
"type": "string",
"description": "O `id` do webhook."
},
"name": {
"type": "string",
"maxLength": 100,
"description": "Nome para você reconhecer o webhook na lista."
},
"url": {
"type": "string",
"format": "uri",
"pattern": "^https?://",
"description": "Para onde vão as entregas. `https://` (recomendado) ou `http://`, sempre em endereço público: endereço privado, local ou de metadados (`10.x`, `192.168.x`, `127.x`, `169.254.x`...) é recusado, conferido de novo a cada entrega, e redirecionamento para um desses não é seguido."
},
"events": {
"type": "array",
"items": {
"type": "string",
"enum": [
"call.log",
"call.updated",
"campaign.updated",
"chat.presence",
"chat.updated",
"contact.updated",
"group.joined",
"group.participants",
"group.receipts",
"group.updated",
"history.batch",
"history.completed",
"inbox.status",
"label.updated",
"lead.updated",
"message.reaction",
"message.received",
"message.sent",
"message.status",
"message.failed",
"message.updated",
"newsletter.message",
"newsletter.updated",
"status_post.received"
]
},
"description": "Eventos que este webhook recebe, pelos nomes da Orkesio (com ponto). Os eventos da API v1 (`messages`...) ficam no `/webhook` dela. Pelo menos um evento: não há atalho para todos, liste os que quer (`status_post.received`, `newsletter.updated`, `newsletter.message` e `history.batch` só chegam se pedidos pelo nome).",
"minItems": 1
},
"exclude": {
"type": "array",
"items": {
"type": "string",
"enum": [
"sent_by_api",
"not_sent_by_api",
"out",
"in",
"groups",
"not_groups"
]
},
"description": "Mensagens que **não** chegam neste webhook (vale para os eventos de mensagem): `sent_by_api` (enviadas pela API: evita a automação responder a si mesma), `not_sent_by_api`, `out` (as da inbox, inclusive pelo celular: `direction: out`), `in` (as recebidas), `groups` (de grupos), `not_groups`."
},
"url_append": {
"type": "array",
"items": {
"type": "string",
"enum": [
"event",
"message_type"
]
},
"description": "Acrescenta ao fim da URL o nome do evento (`event`: `.../message.received`) e o tipo da mensagem (`message_type`: `.../message.received/image`), para separar por rota no seu lado."
},
"enabled": {
"type": "boolean",
"description": "`false` pausa as entregas sem apagar o webhook; `true` volta a entregar."
},
"retries": {
"type": "integer",
"minimum": 0,
"maximum": 3,
"description": "Novas tentativas quando a entrega falha sem risco de chegar em dobro (conexão que nem abriu, ou resposta `429`, `502` ou `503`), depois de 10 s, 1 min e 5 min. Os eventos `history.*` seguem a mesma regra, com o mesmo `id` em cada tentativa."
},
"headers": {
"type": "object",
"additionalProperties": {
"type": "string"
},
"maxProperties": 5,
"description": "Headers que vão em toda entrega, para o seu destino autenticar (`Authorization`, `X-Api-Key`...): até 5, nome até 64 caracteres, valor de 1 caractere a 1 KB. Nas respostas, o valor vem como `***`; mandar `***` de volta mantém o valor salvo. Não valem os que a api define: `Host`, `Content-Type`, `Content-Length`, `Transfer-Encoding`, `Connection`, `User-Agent` e os da assinatura (`Webhook-Id`, `Webhook-Timestamp`, `Webhook-Signature`). **Trocando a `url`:** o `***` não vale (os headers não vão para o endereço novo sem você mandar de novo): mande os headers com os valores, ou eles são apagados."
},
"rotate_secret": {
"type": "boolean",
"description": "`true` troca o segredo da assinatura; o antigo deixa de valer na hora."
}
},
"description": "Só os campos que mudam; os ausentes ficam como estão. Salvar zera o estado de falha e religa um webhook desligado pela API. Trocando a `url`, os headers precisam vir de novo com os valores (sem eles, são apagados).",
"required": [
"webhook_id"
]
},
"example": {
"webhook_id": "rwh1a2b3c4d5e6f",
"enabled": true,
"rotate_secret": true
}
}
}
}
Respostas
{
"200": {
"description": "O webhook alterado.",
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/Webhook"
},
"example": {
"id": "r8f2a1c3d4e5f6a7",
"format": "orkesio",
"name": "CRM",
"url": "https://crm.exemplo.com/whatsapp",
"events": [
"message.received",
"message.status"
],
"enabled": true,
"retries": 3,
"headers": {
"Authorization": "***"
},
"secret": "whsec_MfKQ9r8GKYqrTwjUPD8ILPZIo2LaLaSw",
"health": {
"status": "ok",
"avg_ms": 180,
"p95_ms": 420,
"timeouts": 0,
"last_success_at": "2026-10-17T12:00:00.000Z",
"fail_count": 0
},
"created_at": "2026-10-17T11:00:00.000Z"
}
}
}
},
"400": {
"description": "Pedido inválido: campo desconhecido, evento que não existe, `url` que não é `http://` nem `https://` ou para endereço não público, header reservado ou fora dos limites, ou `***` num header junto com a `url` nova, ou campo além de `enabled` num webhook v1.",
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/OrkesioError"
},
"example": {
"error": "invalid_request",
"message": "header \"Webhook-Signature\" is not allowed"
}
}
}
},
"401": {
"description": "Token inválido ou ausente.",
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/OrkesioError"
},
"example": {
"error": "unauthorized",
"message": "Token inválido."
}
}
}
},
"404": {
"description": "Webhook não encontrado.",
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/OrkesioError"
},
"example": {
"error": "not_found",
"message": "Webhook não encontrado."
}
}
}
},
"429": {
"$ref": "#/components/responses/RateLimited"
},
"500": {
"$ref": "#/components/responses/InternalError"
}
}
Estado: Disponível
Compatibilidade de canais
| Canal | Compatível | Observação |
|---|---|---|
| WhatsApp (Web) | Sim | |
| WhatsApp (API oficial) | Sim | |
| Sim | ||
| Messenger | Sim | |
| Telegram | Sim |
Eventos que esta rota gera
Nenhum. Esta rota não gera evento no webhook (nem em GET /events): o resultado vem só na resposta.
Antes e depois (uazapi → Orkesio)
Na uazapi: POST /webhook (action: update).
PATCHparcial (antes oPOSTmandava o webhook inteiro).rotate_secrettroca o segredo.
#/components/schemas/Webhook
{
"type": "object",
"required": [
"id",
"format",
"url",
"events",
"enabled"
],
"properties": {
"id": {
"type": "string",
"description": "Id do webhook, usado em `/webhooks/{webhook_id}`."
},
"format": {
"type": "string",
"enum": [
"orkesio",
"v1"
],
"description": "De onde é o webhook. `orkesio`: criado no `/webhooks`, recebe os eventos da Orkesio, assinados. `v1`: cadastrado no `/webhook` da API v1, recebe os eventos no formato dela, sem assinatura. Por aqui ele só pausa ou volta a entregar (`PATCH` com só `enabled`) e se apaga (`DELETE`); o resto (url, eventos, filtros) se altera no `/webhook`, e as falhas dele ficam no `GET /webhook/errors` (o global, no `GET /globalwebhook/errors`)."
},
"name": {
"type": "string",
"maxLength": 100,
"description": "Nome para você reconhecer o webhook na lista."
},
"url": {
"type": "string",
"description": "Para onde vão as entregas. `https://` (recomendado) ou `http://`, sempre em endereço público: endereço privado, local ou de metadados (`10.x`, `192.168.x`, `127.x`, `169.254.x`...) é recusado, conferido de novo a cada entrega, e redirecionamento para um desses não é seguido. No `format: v1`, a URL como foi cadastrada no `/webhook` (pode ser `http://`, ou vazia ou inválida num webhook desligado)."
},
"events": {
"type": "array",
"items": {
"type": "string",
"enum": [
"call.log",
"call.updated",
"campaign.updated",
"chat.presence",
"chat.updated",
"contact.updated",
"group.joined",
"group.participants",
"group.receipts",
"group.updated",
"history.batch",
"history.completed",
"inbox.status",
"label.updated",
"lead.updated",
"message.reaction",
"message.received",
"message.sent",
"message.status",
"message.failed",
"message.updated",
"newsletter.message",
"newsletter.updated",
"status_post.received"
]
},
"description": "Eventos que este webhook recebe, pelos nomes da Orkesio (com ponto). No `format: v1`, vem vazio: os eventos dele estão em `v1_events`."
},
"v1_events": {
"type": "array",
"items": {
"type": "string"
},
"description": "Só no `format: v1`: os eventos da API v1 que ele recebe (`messages`, `connection`...), como foram cadastrados."
},
"exclude": {
"type": "array",
"items": {
"type": "string",
"enum": [
"sent_by_api",
"not_sent_by_api",
"out",
"in",
"groups",
"not_groups"
]
},
"description": "Mensagens que **não** chegam neste webhook (vale para os eventos de mensagem, inclusive `message.status` e `group.receipts`, pela mensagem do recibo): `sent_by_api` (enviadas pela API: evita a automação responder a si mesma), `not_sent_by_api`, `out` (as da inbox, inclusive pelo celular: `direction: out`), `in` (as recebidas), `groups` (de grupos), `not_groups`."
},
"url_append": {
"type": "array",
"items": {
"type": "string",
"enum": [
"event",
"message_type"
]
},
"description": "Acrescenta ao fim da URL o nome do evento (`event`: `.../message.received`) e o tipo da mensagem (`message_type`: `.../message.received/image`), para separar por rota no seu lado."
},
"enabled": {
"type": "boolean",
"description": "Se o webhook está entregando. `false` pausa as entregas sem apagar o webhook; a api também põe `false` quando o desliga por falhas (veja `health`)."
},
"retries": {
"type": "integer",
"minimum": 0,
"maximum": 3,
"description": "Novas tentativas quando a entrega falha sem risco de chegar em dobro (conexão que nem abriu, ou resposta `429`, `502` ou `503`), depois de 10 s, 1 min e 5 min. Os eventos `history.*` seguem a mesma regra, com o mesmo `id` em cada tentativa. Padrão `0`."
},
"headers": {
"type": "object",
"additionalProperties": {
"type": "string"
},
"maxProperties": 5,
"description": "Os nomes dos headers salvos, com o valor sempre como `***` (o valor é só de escrita)."
},
"secret": {
"type": "string",
"description": "Segredo da assinatura (`whsec_` e 24 bytes em base64), para conferir o `Webhook-Signature` de cada entrega. **Vem inteiro só na criação e quando é trocado** (`rotate_secret`); nas outras respostas, mascarado (`whsec_…` e os 4 últimos caracteres). Guarde-o ao criar. Como conferir: [Conferir a assinatura (HMAC)](/docs/assinatura). Não vem no `format: v1` (as entregas da API v1 não são assinadas)."
},
"health": {
"$ref": "#/components/schemas/WebhookHealth"
},
"created_at": {
"type": "string",
"format": "date-time",
"description": "Criação. ISO 8601 em UTC com milissegundos."
}
},
"description": "Um webhook: o destino e os eventos que ele recebe. A lista mostra também os webhooks cadastrados pelo `/webhook` da API v1 (`format: v1`), para ver, pausar e apagar."
}
#/components/schemas/WebhookHealth
{
"type": "object",
"description": "Como o destino está respondendo. Os tempos e o `last_success_at` contam desde o último reinício do servidor; as falhas ficam salvas.",
"properties": {
"status": {
"type": "string",
"enum": [
"unknown",
"ok",
"slow",
"very_slow",
"failing",
"disabled"
],
"description": "`unknown` (ainda sem entrega desde o reinício); `ok`; `slow` (média de resposta de 1 s ou mais); `very_slow` (média acima de 5 s ou alguma tentativa sem resposta em 30 s); `failing` (a última entrega falhou e nenhuma deu certo depois); `disabled` (desligado pela api depois de 24 h sem resposta boa e pelo menos 10 falhas)."
},
"avg_ms": {
"type": "integer",
"description": "Tempo médio de resposta do destino nas últimas 100 tentativas, em ms."
},
"p95_ms": {
"type": "integer",
"description": "95% das últimas 100 tentativas responderam em até este tempo, em ms."
},
"avg_queue_wait_ms": {
"type": "integer",
"description": "Espera média na fila da api antes de cada tentativa, nas últimas 100, em ms. Alta com `avg_ms` baixo: os eventos estão acumulando antes do envio."
},
"timeouts": {
"type": "integer",
"description": "Tentativas sem resposta em 30 s, entre as últimas 100."
},
"last_success_at": {
"type": "string",
"format": "date-time",
"description": "Última entrega com resposta 2xx. ISO 8601 em UTC com milissegundos."
},
"fail_count": {
"type": "integer",
"description": "Entregas que falharam de vez seguidas, desde a última que deu certo."
},
"failing_since": {
"type": "string",
"format": "date-time",
"description": "Desde quando está falhando. ISO 8601 em UTC com milissegundos."
},
"last_error": {
"type": "string",
"description": "Último erro (status HTTP ou falha de conexão)."
},
"disabled_at": {
"type": "string",
"format": "date-time",
"description": "Quando a API desligou o webhook. Salvar o webhook de novo (`PATCH`) religa. ISO 8601 em UTC com milissegundos."
},
"sample": {
"type": "integer",
"description": "Quantas tentativas entram nos tempos (até 100)."
},
"stats_since": {
"type": "string",
"format": "date-time",
"description": "Desde quando os tempos são contados (o último reinício do servidor). ISO 8601 em UTC com milissegundos."
}
}
}
#/components/schemas/OrkesioError
{
"type": "object",
"properties": {
"error": {
"type": "string",
"description": "Código estável do erro, em inglês e `snake_case`. Os de uso geral: `invalid_request` (400): pedido inválido: JSON malformado, campo desconhecido ou valor fora do permitido (o detalhe em `message`; o campo em `field`, quando é um só); `unauthorized` (401): `token` ou `admintoken` ausente ou inválido; `forbidden` (403): o token não pode fazer isso (no servidor de demonstração, por exemplo); `not_admin` (403): o WhatsApp recusou por falta de permissão no grupo ou na newsletter; `account_restricted` (403): o WhatsApp restringiu a conta de iniciar conversas novas (mandar para quem já conversa continua valendo; até quando, em `GET /inbox/limits`); `new_chat_limit` (403): a conta atingiu a cota do WhatsApp de conversas novas neste ciclo (veja `GET /inbox/limits`); os dois também no `error` de `OrkesioMessage` e de `message.status`, e não adianta repetir o envio; `payment_required` (403): na API oficial, a Meta recusou o envio por um problema no pagamento da conta do WhatsApp Business (erro 131042 da Meta); acerte a forma de pagamento no gerenciador da Meta, porque repetir não adianta; também no `error` de `OrkesioMessage` e de `message.status`; `whatsapp_rejected` (400): o WhatsApp recusou a mudança pedida (o campo, em `field`, quando é um só); `not_found` (404): o recurso não existe nesta inbox; `conflict` (409): o recurso já existe ou mudou (id em uso, inbox de outro canal); `inbox_not_paired` (409): a inbox ainda não conectou um número; `payload_too_large` (413): o corpo passou do limite; `canceled` e `expired`: só no `error` de `OrkesioMessage` e de `message.status` (envio cancelado antes de sair, ou que passou do prazo na fila); `rate_limited` (429): muitos pedidos; espere o `Retry-After`; `internal_error` (500): falha inesperada na api; tente de novo; `send_failed` (500): o envio falhou (o motivo em `message`); também no `error` de `OrkesioMessage` e de `message.status`; `unsupported_for_channel` (501): o canal da inbox não atende esta rota ou este tipo de mensagem; `meta_error` (502): a Meta recusou ou não respondeu; `disconnected` (503): a inbox está desconectada (sem sessão do WhatsApp, ou token do canal oficial vencido); `unavailable` (503 ou 504): o WhatsApp não respondeu a tempo, ou algo em andamento impede agora; tente de novo. Cada rota lista os códigos próprios dela (`outside_window`, `number_invalid`, `flow_invalid`...). A lista pode crescer: trate código desconhecido pelo status HTTP."
},
"message": {
"type": "string",
"description": "Descrição para pessoas (às vezes o texto do WhatsApp ou da Meta). Não compare o texto: use `error`."
},
"field": {
"type": "string",
"description": "O campo do pedido que causou o erro, quando é um só (por exemplo, o campo que o WhatsApp recusou num `PATCH`)."
}
},
"required": [
"error",
"message"
],
"additionalProperties": true,
"description": "O objeto de erro da Orkesio, o mesmo em todo lugar: o corpo das respostas de erro e o `error` de `OrkesioMessage`, `message.status` e `message.failed`. Algumas rotas juntam campos próprios (`request_id`, `errors`...)."
}
#/components/responses/RateLimited
{
"description": "`rate_limited`: passou do limite de chamadas desta inbox (ou do admin); espere o tempo do header `Retry-After` e tente de novo.",
"headers": {
"Retry-After": {
"description": "Segundos até poder chamar de novo.",
"schema": {
"type": "integer",
"minimum": 1
}
}
},
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/OrkesioError"
},
"example": {
"error": "rate_limited",
"message": "Muitas requisições."
}
}
}
}
#/components/responses/InternalError
{
"description": "`internal_error`: falha inesperada na api (no banco, por exemplo); tente de novo.",
"content": {
"application/json": {
"schema": {
"$ref": "#/components/schemas/OrkesioError"
},
"example": {
"error": "internal_error",
"message": "Falha inesperada."
}
}
}
}
Guias relacionados
Visão geral · O que funciona em cada canal · O que muda da uazapi