Vous le verrez fonctionner en démonstration
Recevoir les leads par flux sortant signé
Objectif
Recevoir sur votre serveur, en temps réel, chaque demande de devis ou de métré faite dans le configurateur, sous une forme que votre outil sait traiter : un lead JSON complet, signé, avec des tentatives en cas d’échec.
Niveau de cette intégration dans data/integrations.yaml : demontre.
Dans la démo publique du site, l’envoi est simulé. La démo affiche la charge utile et la signature qui seraient émises, mais n’émet aucun appel sortant. Ne vous appuyez pas sur la démo pour valider votre réception : utilisez un compte réel et une adresse de test.
Prérequis
- Une adresse publique en HTTPS, qui répond en moins de dix secondes.
- Le secret partagé, généré dans l’administration Kadrima. Il ne se réaffiche pas.
- De quoi calculer un HMAC-SHA256 côté serveur. Tous les langages savent le faire.
Les étapes
1. Déclarer l’adresse de réception
Dans l’administration, enregistrez l’adresse de réception et notez le secret affiché à la création. Conservez-le dans vos variables d’environnement, jamais dans votre code.
2. Vérifier la signature
Kadrima signe le corps brut de la requête en HMAC-SHA256 et transmet la signature dans un en-tête. Côté réception, recalculez le HMAC sur le corps brut reçu et comparez les deux en temps constant.
Vérifiez la signature avant de lire le contenu. Un corps non signé correctement se jette sans être analysé : c’est ce qui empêche n’importe qui de pousser de faux leads dans votre outil.
3. Répondre vite
Répondez 200 dès que vous avez accusé réception, puis traitez en tâche de fond. Un traitement long dans la requête finit en délai dépassé, donc en nouvelle tentative.
4. Gérer les tentatives
En cas d’échec, Kadrima réessaie cinq fois. Votre réception doit donc être idempotente : le même lead peut arriver deux fois. Servez-vous de l’identifiant du lead pour écarter le doublon.
capture : manque. Journal des envois dans l’administration, un lead parti en 240 ms, un autre en troisième tentative, avec le code de réponse reçu.
Le sens du flux
Il est sortant : Kadrima pousse ses leads vers votre système, signés et en temps réel. Ce flux porte les leads, et eux seuls. Les clients, le catalogue et les devis vivent chacun dans leur propre article.
Cas limites
| Situation | Ce qui se passe |
|---|---|
| Adresse en HTTP simple | Refusée à l’enregistrement |
| Cinq tentatives échouées | Le lead reste consultable dans Kadrima, l’envoi s’arrête |
| Secret perdu | Régénérez-le. L’ancien cesse de signer aussitôt. |
| Certificat expiré côté réception | Échec, puis tentatives, puis abandon |
| Lead reçu deux fois | Comportement normal. Dédoublonnez sur l’identifiant. |
Questions liées
Sources
data/integrations.yaml, entrée webhook, niveau demontre, version 2026-10-14b :
« Lead JSON complet à chaque demande de devis ou de métré, signature HMAC-SHA256,
5 tentatives », limite « sortant uniquement ». Le caractère simulé de l’envoi dans la
démo est signalé dans agents/validation.md du 14/10/2026.
Réserve portée par le champ interne preuve du même fichier : aucune livraison réelle
n’est capturée dans le dépôt. Le niveau demontre tient sur le contrat écrit et son
vérificateur à six cas, pas sur une livraison observée. La question est posée à la
validation.