API für Versendung einer Textnachricht

[Halb_leiter (Gast)]

Hallo,

ich versuche ein Textnachricht mittels webhook mit API Schlüssel zu 
übertragen.

Meine HTTP URL:

Methode GET

https://webhook.servername.com:2230/inc/123456?key=CxxxZZZxxx

Ich nutze hierfür eine Software, die HTTP requests versenden kann bei 
einer Aktion (z.B Alarmausgang eines Gerätes hat ausgelöst).

Das funktioniert soweit.

Ich möchte diesen Request mit dem Text ergänzen (z.B "Alarm").

Versucht man es mit der Methode POST, wird nur der Schlüssel

key=CxxxZZZxxx

 als Text gesendet, das ist falsch. Lasse ich den Schlüssel weg, wird 
nichts gesendet.

Habe auch so probiert, da kommt die Meldung "Senden fehlgeschlagen"

/inc/123456?key=CxxxZZZxxx HTTP/1.1
Host: webhook.servername.com:2230
Content-Type: text/html
Content-Length: 5

alarm

Wie könnte man es sonst noch machen?  Ich möchte keine SMS APIs 
verwenden?


Danke

[Mario M. (thelonging)]

Üblicherweise wird sowas mit weiteren Parametern beim GET-Request 
gemacht, z.B.:
https://webhook.servername.com:2230/inc/123456?key=CxxxZZZxxx&msg=Alarm

[Fsd F. (h_alb_leiter)]

Hallo Mario,

danke für den Tipp


Wenn ich die Methode POST nutze,

wird das gesendet :

key=CxxxZZZxxx&msg=Alarm

Wie kriege ich da hin, dass der Schlüssel nicht mitübertragen wird?

[Martin (Gast)]

Schlüssel zB im Header übertragen?

[Mario M. (thelonging)]

Beim GET-Request gehören die Parameter in die URL, beim POST-Request in 
den Body und die Leerzeile zwischen Header und Body nicht vergessen.
https://wiki.selfhtml.org/wiki/HTTP/Anfragemethoden

[B. W. (yesitsme)]

Halb_leiter schrieb:
> Wie könnte man es sonst noch machen?

Hast du eine Dokumentation zu der API?

[Purzel H. (hacky)]

Ein GET wird unverschluesselt uebertragen, kann daher abgehoert werden. 
Waehrend der Datenteil eines POST verschluesselt uebertrage wird, https 
vorausgesetzt.

Daher sollte man Logins per post uebertragen.
In einem(1) POST is vielleicht nicht so gut, dann kann die Meldung 
gespeichert und neu abgespult werden. Besser in 2 POSTs, also Login & 
Passwort getrennt.

Eine Frage der Sicherheit, die man erreichen moechte. Was ist auf der 
Anderen Seite ? Selbstgeschrieben ? Dann hat man Moeglichkeiten, sonst 
nicht, dann ist der Ansatz vorgegeben.

Falls selbstgeschrieben, kann man auch mit Challenge und Response 
arbeiten, Bedeutet der Client fragt nach einem Token, einen Code, 
welcher immer aendert, damit wird das Login verschluesslt, Dann 
nochmals, und damit wird das Passwort verschluesselt.
Mit den Sessionnummern kann man auch noch arbeiten.
Allenfalls moechte der Client auch noch den Server authenifizieren, und 
nicht einfach glauben es waer schon der Richtige.

Was soll's denn sein ?

[Εrnst B. (ernst)]

Purzel H. schrieb:
> Ein GET wird unverschluesselt uebertragen, kann daher abgehoert werden.
> Waehrend der Datenteil eines POST verschluesselt uebertrage wird, https
> vorausgesetzt.

Nö, bei https wird auch die URL (also die GET-Parameter) verschlüsselt.

Solle man trotzdem die Logindaten nicht drinnen haben, weil die URL in 
der Browser-History landet, als Referrer weitergetragen werden kann 
usw...

[Sonnenkönig (Gast)]

Fsd F. schrieb:
> Wie kriege ich da hin, dass der Schlüssel nicht mitübertragen wird?

Die Dokumentation der API lesen!?