Cuatro superficies
API, webhook, SDK del widget y flujo son contratos distintos
Empiece por una transacción: crear contacto CRM, actualizar ticket o archivar un mensaje. Nombre emisor, receptor, trigger, campos, latencia, error y sistema principal.
Exija URL base, versión, autenticación, scopes, endpoints, catálogo de eventos, payloads, paginación, límites, changelog, plazo de retirada y soporte para ese caso.
| Superficie | Finalidad típica | No incluye automáticamente |
|---|---|---|
| API de producto | leer/escribir registros y ejecutar acciones | eventos en tiempo real o interfaz |
| Webhook | avisar a un endpoint sobre eventos elegidos | consultas arbitrarias, historial completo o exactly-once |
| SDK del widget | controlar navegador, identidad, aspecto o tracking | API de agente, exportación o compliance en servidor |
| Power Platform | orquestar Teams, conectores y sistemas destino | API nativa general o conector listo para cada CRM |
Matriz de evidencia
Lo que prueban las fuentes oficiales
| Producto | Documentado | Límite antes de comprar |
|---|---|---|
| WebChat | palabra clave, conector Teams, Power Automate y sistemas opcionales | fuentes revisadas no prueban API general, webhooks de producto o SDK |
| Chatwoot | API Application, Client y Platform; webhooks de cuenta firmados con HMAC | probar token, clase API, Cloud/self-hosted y semántica de entrega |
| Tidio | OpenAPI, Widget SDK y webhooks firmados con tema, versión e ID | webhooks Plus/Premium para owner/admin; cambios OpenAPI no emiten webhooks |
| LiveChat | API Agent/Customer, Web/RTM, webhooks registrados y scopes | aceptar app, OAuth/PAT, roles, filtros, plan y versión |
Operación
At-least-once exige idempotencia y conciliación
Tidio documenta duplicados posibles, orden no garantizado, ID único y ausencia de webhook para cambios OpenAPI. LiveChat indica una ventana breve y reintentos limitados. Chatwoot documenta firma, timestamp y delivery, pero el piloto debe probar retry y orden de su versión.
Códigos HTTP verdes no bastan. Mida eventos recibidos, verificados, deduplicados, procesados, fallidos y conciliados con un ID de negocio.
- Responda 2xx rápido y procese después en una cola asíncrona.
- Verifique firma sobre body bruto, timestamp y ventana permitida; rote secretos.
- Use delivery/webhook/event ID para deduplicar y haga cada efecto seguro ante retry.
- Ordene por hora de negocio e ID estable, nunca solo por llegada.
- Ponga fallos en cuarentena o dead letter, alerte y permita replay controlado.
- Concilie mediante API porque un evento puede retrasarse, duplicarse, filtrarse o no emitirse.
- Versione esquema y consumidor; tolere campos nuevos y detenga campos obligatorios ausentes.
Seguridad y privacidad
Minimizar tokens, payloads y escritura
Una firma válida prueba origen e integridad bajo el secreto, no autorización funcional para ejecutar la acción.
Con Teams y Power Platform incluya owner del flujo, conexiones, DLP, entornos, licencias y retorno al visitante.
- Separe test/producción, secretos webhook, tokens API e identidades interactivas.
- Conceda solo scopes read/write necesarios; acceso global requiere justificación.
- Mapee nombre, email, teléfono, texto, adjuntos, navegador e internas en el flujo de datos.
- Cifre cola, logs, replay y secretos; enmascare datos personales en telemetría.
- Proteja escritura con validación de estado, allowlist, aprobación y auditoría.
- Defina retención, acceso y borrado para eventos, errores, exportaciones y copias.
Aceptación
Ocho pruebas antes de decidir
- 01
Fijar contrato
Caso, registro principal, versión, endpoints, eventos, campos y latencia.
- 02
Negar acceso
Token vencido, erróneo, insuficiente y cuenta ajena deben fallar.
- 03
Verificar firma
Body alterado, hora antigua, secreto falso y replay no actúan.
- 04
Enviar duplicados
Evento repetido y paralelo solo produce un efecto funcional.
- 05
Romper orden
Update antes de create, cierre tardío y mensajes simultáneos.
- 06
Forzar fallos
Timeout, 500, cola, destino y límite con retry, alerta y recovery.
- 07
Conciliar hueco
Perder webhook o usar origen API y recuperar por conciliación.
- 08
Probar salida
Rotar secreto, revocar app, borrar webhook, exportar delta y eliminar copias.