# Criar ou alterar o webhook global

PATCH /server/webhook

Cria o webhook global (um só por servidor) ou altera o que existe, com só os campos enviados. Ao criar, `url` e `events` são obrigatórios, e a resposta traz o `secret` inteiro; depois, ele volta inteiro só quando é trocado (`rotate_secret`). Salvar zera o estado de falha e religa um webhook desligado pela API. Trocando a `url`, os headers precisam vir de novo com os valores.

As entregas vão assinadas com HMAC (headers `Webhook-Id`, `Webhook-Timestamp` e `Webhook-Signature`). Como conferir: [Conferir a assinatura (HMAC)](/docs/assinatura).

Se o global é da API v1 (`format: v1`): mandar só `enabled` pausa ou volta a entregar, sem mudar o formato; mandar qualquer outro campo o troca pelo da Orkesio (com `url` e `events` obrigatórios, como ao criar), porque o global é um só.

## Autenticação

```json
[
  {
    "admintoken": []
  }
]
```

```json
{
  "admintoken": {
    "name": "admintoken",
    "type": "apiKey",
    "in": "header",
    "description": "Token de administrador para endpoints administrativos"
  }
}
```

## Corpo da requisição

```json
{
  "required": true,
  "content": {
    "application/json": {
      "schema": {
        "$ref": "#/components/schemas/WebhookUpdate"
      },
      "example": {
        "enabled": true,
        "rotate_secret": true
      }
    }
  }
}
```

## Respostas

```json
{
  "200": {
    "description": "O webhook alterado.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/Webhook"
        },
        "example": {
          "id": "r8f2a1c3d4e5f6a7",
          "format": "orkesio",
          "name": "CRM",
          "url": "https://crm.exemplo.com/whatsapp",
          "events": [
            "message.received",
            "message.status"
          ],
          "enabled": true,
          "retries": 3,
          "headers": {
            "Authorization": "***"
          },
          "secret": "whsec_MfKQ9r8GKYqrTwjUPD8ILPZIo2LaLaSw",
          "health": {
            "status": "ok",
            "avg_ms": 180,
            "p95_ms": 420,
            "timeouts": 0,
            "last_success_at": "2026-10-17T12:00:00.000Z",
            "fail_count": 0
          },
          "created_at": "2026-10-17T11:00:00.000Z"
        }
      }
    }
  },
  "201": {
    "description": "Webhook global criado, com o `secret`.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/Webhook"
        },
        "example": {
          "id": "r8f2a1c3d4e5f6a7",
          "format": "orkesio",
          "name": "CRM",
          "url": "https://crm.exemplo.com/whatsapp",
          "events": [
            "message.received",
            "message.status"
          ],
          "enabled": true,
          "retries": 3,
          "headers": {
            "Authorization": "***"
          },
          "secret": "whsec_MfKQ9r8GKYqrTwjUPD8ILPZIo2LaLaSw",
          "health": {
            "status": "ok",
            "avg_ms": 180,
            "p95_ms": 420,
            "timeouts": 0,
            "last_success_at": "2026-10-17T12:00:00.000Z",
            "fail_count": 0
          },
          "created_at": "2026-10-17T11:00:00.000Z"
        }
      }
    }
  },
  "400": {
    "description": "Pedido inválido: `url` ou `events` faltando ao criar, `url` que não é `http://` nem `https://` ou para endereço não público, header reservado, ou `***` num header com a `url` trocada.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "invalid_request",
          "message": "header \"Webhook-Signature\" is not allowed"
        }
      }
    }
  },
  "401": {
    "description": "`admintoken` inválido.",
    "content": {
      "application/json": {
        "schema": {
          "$ref": "#/components/schemas/OrkesioError"
        },
        "example": {
          "error": "unauthorized",
          "message": "admintoken inválido."
        }
      }
    }
  },
  "429": {
    "$ref": "#/components/responses/RateLimited"
  },
  "500": {
    "$ref": "#/components/responses/InternalError"
  }
}
```

**Estado:** Disponível

## Compatibilidade de canais

| Canal | Compatível | Observação |
|---|---|---|
| WhatsApp (Web) | Sim |  |
| WhatsApp (API oficial) | Sim |  |
| Instagram | Sim |  |
| Messenger | Sim |  |
| Telegram | Sim |  |

## Eventos que esta rota gera

Nenhum. Esta rota não gera evento no webhook (nem em `GET /events`): o resultado vem só na resposta.

## Antes e depois (uazapi → Orkesio)

Na uazapi: `POST /globalwebhook`.

- `PATCH` parcial (antes o `POST` mandava a configuração inteira).
- Só eventos da Orkesio, que escolhem o formato da entrega (o envelope da Orkesio).
- Novos: `name`, `headers`, `secret` da assinatura e `rotate_secret`.

## #/components/schemas/WebhookUpdate

```json
{
  "type": "object",
  "additionalProperties": false,
  "properties": {
    "name": {
      "type": "string",
      "maxLength": 100,
      "description": "Nome para você reconhecer o webhook na lista."
    },
    "url": {
      "type": "string",
      "format": "uri",
      "pattern": "^https?://",
      "description": "Para onde vão as entregas. `https://` (recomendado) ou `http://`, sempre em endereço público: endereço privado, local ou de metadados (`10.x`, `192.168.x`, `127.x`, `169.254.x`...) é recusado, conferido de novo a cada entrega, e redirecionamento para um desses não é seguido."
    },
    "events": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "call.log",
          "call.updated",
          "campaign.updated",
          "chat.presence",
          "chat.updated",
          "contact.updated",
          "group.joined",
          "group.participants",
          "group.receipts",
          "group.updated",
          "history.batch",
          "history.completed",
          "inbox.status",
          "label.updated",
          "lead.updated",
          "message.reaction",
          "message.received",
          "message.sent",
          "message.status",
          "message.failed",
          "message.updated",
          "newsletter.message",
          "newsletter.updated",
          "status_post.received"
        ]
      },
      "description": "Eventos que este webhook recebe, pelos nomes da Orkesio (com ponto). Os eventos da API v1 (`messages`...) ficam no `/webhook` dela. Pelo menos um evento: não há atalho para todos, liste os que quer (`status_post.received`, `newsletter.updated`, `newsletter.message` e `history.batch` só chegam se pedidos pelo nome).",
      "minItems": 1
    },
    "exclude": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "sent_by_api",
          "not_sent_by_api",
          "out",
          "in",
          "groups",
          "not_groups"
        ]
      },
      "description": "Mensagens que **não** chegam neste webhook (vale para os eventos de mensagem, inclusive `message.status` e `group.receipts`, pela mensagem do recibo): `sent_by_api` (enviadas pela API: evita a automação responder a si mesma), `not_sent_by_api`, `out` (as da inbox, inclusive pelo celular: `direction: out`), `in` (as recebidas), `groups` (de grupos), `not_groups`."
    },
    "url_append": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "event",
          "message_type"
        ]
      },
      "description": "Acrescenta ao fim da URL o nome do evento (`event`: `.../message.received`) e o tipo da mensagem (`message_type`: `.../message.received/image`), para separar por rota no seu lado."
    },
    "enabled": {
      "type": "boolean",
      "description": "`false` pausa as entregas sem apagar o webhook; `true` volta a entregar."
    },
    "retries": {
      "type": "integer",
      "minimum": 0,
      "maximum": 3,
      "description": "Novas tentativas quando a entrega falha sem risco de chegar em dobro (conexão que nem abriu, ou resposta `429`, `502` ou `503`), depois de 10 s, 1 min e 5 min. Os eventos `history.*` seguem a mesma regra, com o mesmo `id` em cada tentativa."
    },
    "headers": {
      "type": "object",
      "additionalProperties": {
        "type": "string"
      },
      "maxProperties": 5,
      "description": "Headers que vão em toda entrega, para o seu destino autenticar (`Authorization`, `X-Api-Key`...): até 5, nome até 64 caracteres, valor de 1 caractere a 1 KB. Nas respostas, o valor vem como `***`; mandar `***` de volta mantém o valor salvo. Não valem os que a api define: `Host`, `Content-Type`, `Content-Length`, `Transfer-Encoding`, `Connection`, `User-Agent` e os da assinatura (`Webhook-Id`, `Webhook-Timestamp`, `Webhook-Signature`). **Trocando a `url`:** o `***` não vale (os headers não vão para o endereço novo sem você mandar de novo): mande os headers com os valores, ou eles são apagados."
    },
    "rotate_secret": {
      "type": "boolean",
      "description": "`true` troca o segredo da assinatura; o antigo deixa de valer na hora."
    }
  },
  "description": "Só os campos que mudam; os ausentes ficam como estão. Salvar zera o estado de falha e religa um webhook desligado pela API. Trocando a `url`, os headers precisam vir de novo com os valores (sem eles, são apagados)."
}
```

## #/components/schemas/Webhook

```json
{
  "type": "object",
  "required": [
    "id",
    "format",
    "url",
    "events",
    "enabled"
  ],
  "properties": {
    "id": {
      "type": "string",
      "description": "Id do webhook, usado em `/webhooks/{webhook_id}`."
    },
    "format": {
      "type": "string",
      "enum": [
        "orkesio",
        "v1"
      ],
      "description": "De onde é o webhook. `orkesio`: criado no `/webhooks`, recebe os eventos da Orkesio, assinados. `v1`: cadastrado no `/webhook` da API v1, recebe os eventos no formato dela, sem assinatura. Por aqui ele só pausa ou volta a entregar (`PATCH` com só `enabled`) e se apaga (`DELETE`); o resto (url, eventos, filtros) se altera no `/webhook`, e as falhas dele ficam no `GET /webhook/errors` (o global, no `GET /globalwebhook/errors`)."
    },
    "name": {
      "type": "string",
      "maxLength": 100,
      "description": "Nome para você reconhecer o webhook na lista."
    },
    "url": {
      "type": "string",
      "description": "Para onde vão as entregas. `https://` (recomendado) ou `http://`, sempre em endereço público: endereço privado, local ou de metadados (`10.x`, `192.168.x`, `127.x`, `169.254.x`...) é recusado, conferido de novo a cada entrega, e redirecionamento para um desses não é seguido. No `format: v1`, a URL como foi cadastrada no `/webhook` (pode ser `http://`, ou vazia ou inválida num webhook desligado)."
    },
    "events": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "call.log",
          "call.updated",
          "campaign.updated",
          "chat.presence",
          "chat.updated",
          "contact.updated",
          "group.joined",
          "group.participants",
          "group.receipts",
          "group.updated",
          "history.batch",
          "history.completed",
          "inbox.status",
          "label.updated",
          "lead.updated",
          "message.reaction",
          "message.received",
          "message.sent",
          "message.status",
          "message.failed",
          "message.updated",
          "newsletter.message",
          "newsletter.updated",
          "status_post.received"
        ]
      },
      "description": "Eventos que este webhook recebe, pelos nomes da Orkesio (com ponto). No `format: v1`, vem vazio: os eventos dele estão em `v1_events`."
    },
    "v1_events": {
      "type": "array",
      "items": {
        "type": "string"
      },
      "description": "Só no `format: v1`: os eventos da API v1 que ele recebe (`messages`, `connection`...), como foram cadastrados."
    },
    "exclude": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "sent_by_api",
          "not_sent_by_api",
          "out",
          "in",
          "groups",
          "not_groups"
        ]
      },
      "description": "Mensagens que **não** chegam neste webhook (vale para os eventos de mensagem, inclusive `message.status` e `group.receipts`, pela mensagem do recibo): `sent_by_api` (enviadas pela API: evita a automação responder a si mesma), `not_sent_by_api`, `out` (as da inbox, inclusive pelo celular: `direction: out`), `in` (as recebidas), `groups` (de grupos), `not_groups`."
    },
    "url_append": {
      "type": "array",
      "items": {
        "type": "string",
        "enum": [
          "event",
          "message_type"
        ]
      },
      "description": "Acrescenta ao fim da URL o nome do evento (`event`: `.../message.received`) e o tipo da mensagem (`message_type`: `.../message.received/image`), para separar por rota no seu lado."
    },
    "enabled": {
      "type": "boolean",
      "description": "Se o webhook está entregando. `false` pausa as entregas sem apagar o webhook; a api também põe `false` quando o desliga por falhas (veja `health`)."
    },
    "retries": {
      "type": "integer",
      "minimum": 0,
      "maximum": 3,
      "description": "Novas tentativas quando a entrega falha sem risco de chegar em dobro (conexão que nem abriu, ou resposta `429`, `502` ou `503`), depois de 10 s, 1 min e 5 min. Os eventos `history.*` seguem a mesma regra, com o mesmo `id` em cada tentativa. Padrão `0`."
    },
    "headers": {
      "type": "object",
      "additionalProperties": {
        "type": "string"
      },
      "maxProperties": 5,
      "description": "Os nomes dos headers salvos, com o valor sempre como `***` (o valor é só de escrita)."
    },
    "secret": {
      "type": "string",
      "description": "Segredo da assinatura (`whsec_` e 24 bytes em base64), para conferir o `Webhook-Signature` de cada entrega. **Vem inteiro só na criação e quando é trocado** (`rotate_secret`); nas outras respostas, mascarado (`whsec_…` e os 4 últimos caracteres). Guarde-o ao criar. Como conferir: [Conferir a assinatura (HMAC)](/docs/assinatura). Não vem no `format: v1` (as entregas da API v1 não são assinadas)."
    },
    "health": {
      "$ref": "#/components/schemas/WebhookHealth"
    },
    "created_at": {
      "type": "string",
      "format": "date-time",
      "description": "Criação. ISO 8601 em UTC com milissegundos."
    }
  },
  "description": "Um webhook: o destino e os eventos que ele recebe. A lista mostra também os webhooks cadastrados pelo `/webhook` da API v1 (`format: v1`), para ver, pausar e apagar."
}
```

## #/components/schemas/WebhookHealth

```json
{
  "type": "object",
  "description": "Como o destino está respondendo. Os tempos e o `last_success_at` contam desde o último reinício do servidor; as falhas ficam salvas.",
  "properties": {
    "status": {
      "type": "string",
      "enum": [
        "unknown",
        "ok",
        "slow",
        "very_slow",
        "failing",
        "disabled"
      ],
      "description": "`unknown` (ainda sem entrega desde o reinício); `ok`; `slow` (média de resposta de 1 s ou mais); `very_slow` (média acima de 5 s ou alguma tentativa sem resposta em 30 s); `failing` (a última entrega falhou e nenhuma deu certo depois); `disabled` (desligado pela api depois de 24 h sem resposta boa e pelo menos 10 falhas)."
    },
    "avg_ms": {
      "type": "integer",
      "description": "Tempo médio de resposta do destino nas últimas 100 tentativas, em ms."
    },
    "p95_ms": {
      "type": "integer",
      "description": "95% das últimas 100 tentativas responderam em até este tempo, em ms."
    },
    "avg_queue_wait_ms": {
      "type": "integer",
      "description": "Espera média na fila da api antes de cada tentativa, nas últimas 100, em ms. Alta com `avg_ms` baixo: os eventos estão acumulando antes do envio."
    },
    "timeouts": {
      "type": "integer",
      "description": "Tentativas sem resposta em 30 s, entre as últimas 100."
    },
    "last_success_at": {
      "type": "string",
      "format": "date-time",
      "description": "Última entrega com resposta 2xx. ISO 8601 em UTC com milissegundos."
    },
    "fail_count": {
      "type": "integer",
      "description": "Entregas que falharam de vez seguidas, desde a última que deu certo."
    },
    "failing_since": {
      "type": "string",
      "format": "date-time",
      "description": "Desde quando está falhando. ISO 8601 em UTC com milissegundos."
    },
    "last_error": {
      "type": "string",
      "description": "Último erro (status HTTP ou falha de conexão)."
    },
    "disabled_at": {
      "type": "string",
      "format": "date-time",
      "description": "Quando a API desligou o webhook. Salvar o webhook de novo (`PATCH`) religa. ISO 8601 em UTC com milissegundos."
    },
    "sample": {
      "type": "integer",
      "description": "Quantas tentativas entram nos tempos (até 100)."
    },
    "stats_since": {
      "type": "string",
      "format": "date-time",
      "description": "Desde quando os tempos são contados (o último reinício do servidor). ISO 8601 em UTC com milissegundos."
    }
  }
}
```

## #/components/schemas/OrkesioError

```json
{
  "type": "object",
  "properties": {
    "error": {
      "type": "string",
      "description": "Código estável do erro, em inglês e `snake_case`. Os de uso geral: `invalid_request` (400): pedido inválido: JSON malformado, campo desconhecido ou valor fora do permitido (o detalhe em `message`; o campo em `field`, quando é um só); `unauthorized` (401): `token` ou `admintoken` ausente ou inválido; `forbidden` (403): o token não pode fazer isso (no servidor de demonstração, por exemplo); `not_admin` (403): o WhatsApp recusou por falta de permissão no grupo ou na newsletter; `account_restricted` (403): o WhatsApp restringiu a conta de iniciar conversas novas (mandar para quem já conversa continua valendo; até quando, em `GET /inbox/limits`); `new_chat_limit` (403): a conta atingiu a cota do WhatsApp de conversas novas neste ciclo (veja `GET /inbox/limits`); os dois também no `error` de `OrkesioMessage` e de `message.status`, e não adianta repetir o envio; `payment_required` (403): na API oficial, a Meta recusou o envio por um problema no pagamento da conta do WhatsApp Business (erro 131042 da Meta); acerte a forma de pagamento no gerenciador da Meta, porque repetir não adianta; também no `error` de `OrkesioMessage` e de `message.status`; `whatsapp_rejected` (400): o WhatsApp recusou a mudança pedida (o campo, em `field`, quando é um só); `not_found` (404): o recurso não existe nesta inbox; `conflict` (409): o recurso já existe ou mudou (id em uso, inbox de outro canal); `inbox_not_paired` (409): a inbox ainda não conectou um número; `payload_too_large` (413): o corpo passou do limite; `canceled` e `expired`: só no `error` de `OrkesioMessage` e de `message.status` (envio cancelado antes de sair, ou que passou do prazo na fila); `rate_limited` (429): muitos pedidos; espere o `Retry-After`; `internal_error` (500): falha inesperada na api; tente de novo; `send_failed` (500): o envio falhou (o motivo em `message`); também no `error` de `OrkesioMessage` e de `message.status`; `unsupported_for_channel` (501): o canal da inbox não atende esta rota ou este tipo de mensagem; `meta_error` (502): a Meta recusou ou não respondeu; `disconnected` (503): a inbox está desconectada (sem sessão do WhatsApp, ou token do canal oficial vencido); `unavailable` (503 ou 504): o WhatsApp não respondeu a tempo, ou algo em andamento impede agora; tente de novo. Cada rota lista os códigos próprios dela (`outside_window`, `number_invalid`, `flow_invalid`...). A lista pode crescer: trate código desconhecido pelo status HTTP."
    },
    "message": {
      "type": "string",
      "description": "Descrição para pessoas (às vezes o texto do WhatsApp ou da Meta). Não compare o texto: use `error`."
    },
    "field": {
      "type": "string",
      "description": "O campo do pedido que causou o erro, quando é um só (por exemplo, o campo que o WhatsApp recusou num `PATCH`)."
    }
  },
  "required": [
    "error",
    "message"
  ],
  "additionalProperties": true,
  "description": "O objeto de erro da Orkesio, o mesmo em todo lugar: o corpo das respostas de erro e o `error` de `OrkesioMessage`, `message.status` e `message.failed`. Algumas rotas juntam campos próprios (`request_id`, `errors`...)."
}
```

## #/components/responses/RateLimited

```json
{
  "description": "`rate_limited`: passou do limite de chamadas desta inbox (ou do admin); espere o tempo do header `Retry-After` e tente de novo.",
  "headers": {
    "Retry-After": {
      "description": "Segundos até poder chamar de novo.",
      "schema": {
        "type": "integer",
        "minimum": 1
      }
    }
  },
  "content": {
    "application/json": {
      "schema": {
        "$ref": "#/components/schemas/OrkesioError"
      },
      "example": {
        "error": "rate_limited",
        "message": "Muitas requisições."
      }
    }
  }
}
```

## #/components/responses/InternalError

```json
{
  "description": "`internal_error`: falha inesperada na api (no banco, por exemplo); tente de novo.",
  "content": {
    "application/json": {
      "schema": {
        "$ref": "#/components/schemas/OrkesioError"
      },
      "example": {
        "error": "internal_error",
        "message": "Falha inesperada."
      }
    }
  }
}
```

## Guias relacionados

[Visão geral](/docs/overview) · [O que funciona em cada canal](/docs/canais) · [O que muda da uazapi](/docs/o-que-muda)