Dokumentacja API

Zdarzenia

Webhooki

Onboardly wysyła zdarzenia do skonfigurowanego adresu URL, gdy zmienia się stan onboardingu lub weryfikacji KYC. Każdy ładunek jest podpisany HMAC-SHA256, dzięki czemu możesz zweryfikować jego autentyczność.

Typy zdarzeń

onboarding.createdutworzono nowy proces onboardingu.
onboarding.completedpracownik ukończył onboarding.
onboarding.signeddokument został podpisany.
onboarding.fully_signedwszystkie strony podpisały dokumenty.
kyc.passedweryfikacja tożsamości zakończona sukcesem.
kyc.failedweryfikacja tożsamości nie powiodła się.

Format ładunku

Ładunek jest wysyłany metodą POST jako JSON:

JSON
{
  "event": "onboarding.completed",
  "tenantId": "uuid",
  "companyId": "uuid",
  "onboardingId": "uuid",
  "timestamp": "2026-07-14T12:00:00.000Z",
  "data": { /* zależne od typu zdarzenia */ }
}

Nagłówki

X-Onboardly-Signaturepodpis HMAC-SHA256 treści żądania, kluczem webhookSecret tenanta.
X-Onboardly-Eventtyp zdarzenia (np. onboarding.completed).

Weryfikacja podpisu

Policz HMAC-SHA256 z surowej treści żądania używając sekretu webhooka (dostępny w ustawieniach tenanta) i porównaj wynik z nagłówkiem X-Onboardly-Signature w sposób odporny na atak czasowy. Odrzuć żądanie, jeśli podpisy się nie zgadzają.

Node.js
import crypto from "node:crypto";

function verifyOnboardlyWebhook(rawBody, signature, secret) {
  const expected = crypto
    .createHmac("sha256", secret)
    .update(rawBody, "utf8")
    .digest("hex");
  // porównanie w stałym czasie
  return crypto.timingSafeEqual(
    Buffer.from(expected),
    Buffer.from(signature)
  );
}

Weryfikuj na surowym ciele

Policz HMAC zanim ciało zostanie sparsowane do obiektu — ponowna serializacja JSON może zmienić bajty i unieważnić podpis.

Ponawianie i kolejność

Dostarczanie odbywa się z trwałej kolejki z ponawianiem według harmonogramu 1 min → 5 min → 30 min → 2 h → 12 h (6 prób; po wyczerpaniu zdarzenie trafia do stanu dead). Odpowiedz kodem 2xx możliwie szybko; cięższą pracę wykonuj asynchronicznie. Zaprojektuj odbiornik idempotentnie — to samo zdarzenie może dotrzeć więcej niż raz.

§08 · Zacznij teraz

Twój następny pracownik
onboarding zajmie 15 minut.

14-dniowy trial z pełnym dostępem. Zatrudnij 3 osoby z prawdziwymi danymi: KYC, podpis z pieczątką, teczka w Drive, eksport do kadr.

Jeśli nie zobaczysz wartości, nie kupujesz. Bez karty kredytowej.