Dokumentasi AnyHook

AnyHook tidak memerlukan SDK maupun paket: Anda mengganti URL webhook di dashboard pengirim, dan handler Anda tetap menerima permintaan yang sama. Satu hal yang perlu direncanakan: percobaan ulang dan putar ulang membawa stempel waktu (timestamp) asli dari pengirim, jadi jika tanda tangan pengirim dapat kedaluwarsa (Stripe, Slack, dan pengirim lain yang punya toleransi di /providers), periksa AnyHook-Signature agar keduanya tetap diterima.

Jalur tercepat (tanpa akun): jalankan curl -X POST https://anyhook.net/api/v1/quickstart untuk langsung mendapatkan URL masuk (inbound URL) yang aktif dan kunci API, cocok untuk agen AI dan uji cepat. Endpoint ini kedaluwarsa dalam 7 hari kecuali diklaim lewat claim_url yang dikembalikan. Arahkan pengirim ke inbound_url yang dikembalikan, lalu baca event dengan GET /api/v1/events dan GET /api/v1/events/{id}; next_steps di respons berisi setiap perintahnya.

1. 1
   Buat akun

   Buka anyhook.net/sign-up dan buat akun gratis. Tanpa kartu kredit.
2. 2
   Buat App

   Satu App mewakili satu sumber webhook. Akun baru langsung terbuka di formulirnya: beri nama (misalnya “Stripe Production”) dan, jika mau, URL server Anda, tempat AnyHook meneruskan setiap event setelah menerimanya. Jika dibiarkan kosong, App mencatat semuanya tanpa meneruskan. Tambahkan tujuan kapan pun, hingga 3 per App di Free.
3. 3
   Arahkan pengirim ke AnyHook

   Halaman App menampilkan URL masuk Anda dan tempat setiap pengirim umum memintanya (misalnya Stripe → Developers → Webhooks). Tempel di sana sebagai pengganti URL webhook lama:

   https://in.anyhook.net/{user-slug}/{app-slug}

   Halaman itu terus memantau: permintaan pertama muncul di sana dalam hitungan detik. Belum ada yang bisa mengirim? Tekan tombol Send a test event (kirim event uji) di halaman yang sama.

Setiap App mendapat URL masuk yang unik:

https://in.anyhook.net/{user-slug}/{app-slug}

• user-slug: pengenal akun Anda, terlihat di pengaturan dashboard.
• app-slug: unik per App, dibuat otomatis dari nama App tetapi dapat diubah.

Endpoint masuk menerima permintaan POST apa pun, dan juga menjawab handshake verifikasi saat penyiapan: GET yang membawa hub.mode=subscribe (pemeriksaan hub.challenge dari Meta) otomatis dibalas dengan challenge-nya, bahkan sebelum App dikonfigurasi. Metode lain dijawab 405. Halaman web dan form HTML biasa juga dapat mengirim POST ke sana (lihat handler kode (code handler)). AnyHook mengembalikan HTTP 200 begitu event tersimpan secara persisten di antrean, dalam sekitar satu detik, berapa pun kecepatan endpoint tujuan Anda, sehingga pengirim tidak pernah menunggunya.

AnyHook mendeteksi pengirim secara otomatis dari header yang masuk dan memvalidasi tanda tangan payload di edge (Cloudflare Worker AnyHook di in.anyhook.net). Untuk mengaktifkan verifikasi, pilih provider webhook Anda saat membuat App dan tempel webhook signing secret dari provider (misalnya whsec_... dari Stripe).

Permintaan yang gagal pemeriksaan ditolak di edge dan tidak pernah sampai ke endpoint Anda. Halaman App menghitungnya, dan 5 yang pertama setiap hari disimpan di log event sebagai rejected, termasuk header dan body-nya, agar Anda dapat melihat penyebabnya.

AnyHook memakai arsitektur asinkron berbasis antrean untuk memisahkan pengirim webhook dari backend Anda:

1. Diterima di edge: Cloudflare Workers menerima POST, memvalidasi tanda tangan, dan mengembalikan 200 setelah event tersimpan secara persisten, dalam sekitar satu detik.
2. Antrean: event dipublikasikan ke antrean pesan yang persisten (Upstash QStash). Koneksi HTTP pengirim sudah ditutup.
3. Penerusan: QStash mengirim event ke forwarder AnyHook, yang mengirim POST berisi payload asli ke endpoint tujuan Anda.
4. Log: setiap langkah dicatat, yaitu header/body masuk, status pengiriman, kode respons dan body dari endpoint Anda, serta latensi.

Kontraknya, dinyatakan dengan jelas, karena relay yang samar tentang jaminannya memindahkan kesamaran itu ke kode Anda:

1. Setidaknya sekali (at-least-once), bukan tepat satu kali (exactly-once). Percobaan ulang adalah inti produk ini, dan percobaan ulang setelah respons yang hilang tidak dapat dibedakan dari pengiriman baru. Sesekali Anda akan menerima event yang sama dua kali; tidak ada relay yang dapat menjanjikan sebaliknya, dan relay yang menjanjikannya hanya menggambarkan skenario idealnya. Handler Anda harus idempoten, dan id event yang kami teruskan di X-AnyHook-Delivery adalah kunci untuk deduplikasi.
2. Tidak ada jaminan urutan. Karena percobaan ulang dan pengiriman yang berjalan bersamaan, event yang lebih baru bisa tiba sebelum event lebih lama yang masih dicoba ulang. Sebagian besar pengirim di upstream kami pun tidak menjanjikan urutan. Urutkan berdasarkan field di dalam payload (versi, updated_at), jangan berdasarkan waktu kedatangan.
3. Jangan melakukan deduplikasi berdasarkan tanda tangan. AnyHook-Signature ditandatangani ulang dengan stempel waktu baru di setiap upaya, dengan sengaja, agar percobaan ulang tidak pernah gagal di rentang toleransi Anda. Dua pengiriman dari event yang sama membawa tanda tangan yang berbeda; yang tetap sama adalah id event.
4. Diterima berarti tersimpan secara persisten. Edge mengembalikan 200 hanya setelah event tersimpan, dan ada dua penyimpanan cadangan di belakang antrean sebelum edge menjawab 503. Respons 503 dari URL masuk berarti tidak ada yang tersimpan, dan percobaan ulang dari pengirim Anda sendiri menjadi jaring pengamannya; itulah alasan kami menjawab 503 alih-alih berpura-pura.

Saat tujuan Anda mengembalikan error sementara atau mengalami timeout, AnyHook otomatis mencoba ulang dengan backoff eksponensial:

Respons mana yang memicu percobaan ulang?

Tidak semua error layak dicoba ulang. AnyHook mengklasifikasikan respons endpoint Anda agar tidak menghabiskan upaya, atau jatah komputasi Anda, untuk error yang tidak akan teratasi dengan mencoba lagi:

Setiap upaya dicatat beserta body respons lengkap dan kode statusnya. Kegagalan 4xx permanen maupun kegagalan yang dapat dicoba ulang sama-sama dihitung untuk circuit breaker: 20 kegagalan berturut-turut dari jenis apa pun akan memicunya.

Notifikasi kegagalan

AnyHook mengirim peringatan email pada ambang tertentu, bukan per event, agar kotak masuk Anda tetap terkendali:

• Kegagalan ke-1: peringatan segera beserta kode status dan tujuannya.
• Kegagalan ke-5 berturut-turut: peringatan eskalasi beserta saran.
• Kegagalan ke-20 berturut-turut: circuit breaker terpicu (lihat di bawah), peringatan CB dikirim.

Satu email di setiap ambang di atas, lalu satu email di setiap langkah circuit breaker (setiap jeda dan penonaktifan), tidak pernah satu per event. Satu pengiriman yang berhasil sudah cukup untuk mengatur ulang penghitungnya.

Jika AnyHook mendeteksi 20 kegagalan pengiriman berturut-turut ke tujuan yang sama (termasuk error 4xx permanen), circuit breaker terpicu dan memulai eskalasi bertahap:

Cara kerjanya

• Penerimaan tetap berjalan. URL masuk Anda selalu aktif, dan event dari Stripe, GitHub, dan lainnya tetap diterima dan disimpan. Hanya pengiriman keluar ke tujuan Anda yang dijeda.
• Setiap kali jeda berakhir, AnyHook mengirim probe half-open: event berikutnya menguji tujuan Anda. Jika berhasil, circuit kembali tertutup dan semuanya diatur ulang.
• Satu keberhasilan saja mengatur ulang semuanya: jumlah kegagalan berturut-turut dan jumlah pemicuan sama-sama kembali ke nol.
• Event yang diterima selama jeda disimpan dengan status circuit_open dan dapat diputar ulang setelah tujuan Anda pulih.
• Anda menerima notifikasi email di setiap tahap eskalasi, berisi URL tujuan, jumlah kegagalan, dan lama jeda.
• Jika tujuan dinonaktifkan (pemicuan ke-5), Anda harus mengaktifkannya kembali secara manual dari dashboard.

Pendekatan bertahap ini memberi server Anda waktu untuk pulih sekaligus mencegah jatah komputasi Anda terkuras oleh percobaan ulang ke endpoint yang mati.

Setiap event yang sampai di URL masuk Anda dicatat, apa pun yang terjadi pada pengirimannya. Log dimulai saat Anda mengarahkan provider ke AnyHook: event yang gagal sebelum itu hanya ada di provider (untuk Stripe, lihat cara memutar ulang webhook). Setiap entri log berisi:

• Header dan body masuk secara lengkap (seperti yang diterima dari pengirim)
• Status pengiriman: queued → success / retrying / failed / rejected / circuit_open / quota_exceeded. rejected berarti AnyHook menolak event tersebut (verifikasi tanda tangan gagal, atau URL tujuan diblokir); event itu tidak pernah dicoba dikirim dan tidak dapat diputar ulang.
• Kode respons HTTP dan body dari tujuan Anda (per upaya)
• Latensi dalam milidetik
• Jumlah upaya dan waktu percobaan ulang berikutnya
• Apakah event tersebut hasil putar ulang (is_replay: true)

Lama event disimpan bergantung pada paket. Free: 3 hari, dapat diputar ulang sepanjang waktu itu, lalu dihapus. Pro: 1 tahun: dapat diputar ulang selama 30 hari, lalu menjadi arsip terenkripsi hanya-baca. Scale: 7 tahun: dapat diputar ulang selama 90 hari, lalu menjadi arsip terenkripsi hanya-baca. Enterprise: fleksibel.

Event apa pun di log dapat diputar ulang dari dashboard dengan sekali klik. Putar ulang mengirimkan lagi payload yang tersimpan, byte demi byte, ke tujuan event tersebut, atau ke URL baru tujuan itu jika Anda telah mengubahnya.

• Buka menu Dashboard → Events
• Cari event-nya, lalu klik tombol Replay (putar ulang)
• Event baru dibuat dengan is_replay: true, tertaut ke event aslinya

AnyHook bisa langsung dipakai untuk pengembangan lokal, tanpa mode khusus atau CLI. Ada dua pendekatan:

1. Penerusan live lewat tunnel

Atur tujuan App Anda ke URL tunnel yang mengarah ke mesin lokal Anda. Provider tunnel apa pun bisa dipakai:

# ngrok
ngrok http 3000
# → https://abc123.ngrok.io

# cloudflared
cloudflared tunnel --url http://localhost:3000

# localhost.run
ssh -R 80:localhost:3000 nokey@localhost.run

Salin URL tunnel ke tujuan App Anda di dashboard. AnyHook meneruskan webhook ke sana persis seperti ke endpoint lain: percobaan ulang, log, dan header tanda tangan semuanya bekerja dengan cara yang sama.

2. Tangkap & putar ulang ke localhost

Biarkan event production sungguhan terkumpul di AnyHook, lalu putar ulang event mana pun ke lingkungan lokal Anda kapan pun diperlukan. Tidak perlu memicu event uji secara manual: uji dengan payload sungguhan, sesering yang diizinkan batas putar ulang harian Anda.

• Ganti tujuan Anda ke URL tunnel
• Buka menu Dashboard → Events dan klik tombol Replay pada event mana pun
• Atau gunakan API: POST /api/v1/events/{id}/replay
• Payload asli dikirim byte demi byte ke tujuan Anda saat ini

Ini sangat berguna untuk men-debug edge case: temukan event bermasalah di log production, putar ulang secara lokal, dan ulangi sampai handler Anda bekerja dengan benar.

Semua data payload webhook dienkripsi saat disimpan (at rest) dengan AES-256-GCM sebelum mencapai database. Ini mencakup header masuk, body permintaan, dan signing secret per tujuan.

Enkripsi memakai kunci khusus (AES_SECRET_KEY) yang disimpan terpisah dari kredensial database. Kebocoran database tanpa kunci enkripsi hanya menghasilkan ciphertext: tidak ada data webhook dalam bentuk plaintext, tidak ada signing secret, tidak ada informasi pelanggan.

AnyHook memvalidasi tanda tangan webhook di edge Cloudflare, sebelum event masuk antrean. Setelah sebuah App memiliki signing secret, permintaan tanpa tanda tangan atau dengan tanda tangan yang tidak valid ditolak dengan 401 dan tidak pernah memakai kuota Anda; tanpa secret, permintaan diteruskan tanpa diverifikasi.

Deteksi tanda tangan berjalan otomatis berdasarkan header. Saat Anda membuat App dan memilih jenis sumber, AnyHook menyimpan signing secret (terenkripsi saat disimpan) dan memakai algoritma yang tepat untuk provider tersebut.

Sumber kustom atau yang belum didukung

Jika sumber webhook Anda tidak ada di daftar yang didukung, pilih Generic saat membuat App. AnyHook akan:

• Menerima setiap POST masuk dan memasukkannya ke antrean, tanpa pemeriksaan tanda tangan masuk.
• Meneruskan body byte demi byte beserta header asli dari provider ke tujuan Anda, ditambah AnyHook-Signature baru di setiap upaya. Header infrastruktur yang ditambahkan di depan edge kami (cf-* dan sejenisnya) dihapus.
• Melampirkan header AnyHook-Signature agar endpoint Anda tetap dapat memverifikasi bahwa permintaan datang melalui AnyHook.

App Generic tidak memeriksa tanda tangan masuk, apa pun secret yang diatur. AnyHook-Signature membuktikan bahwa permintaan datang melalui AnyHook, bukan siapa yang mengirimnya ke AnyHook, jadi pertahankan pemeriksaan Anda sendiri atas header asli dari pengirim (diteruskan tanpa diubah) jika Anda memerlukannya. Jika pengirim menandatangani dengan Standard Webhooks (webhook-id, webhook-timestamp, webhook-signature, seperti OpenAI dan Replicate), pilih sumber itu sebagai gantinya: tanda tangannya diverifikasi di edge.

Tiga pengaturan opsional di setiap tujuan, semuanya di Pro ke atas. Atur di menu App → Destinations → Delivery controls, atau dengan PATCH /api/v1/apps/{slug} pada objek tujuan. Akun Free tetap memiliki kontrol yang diaturnya saat masih berbayar, tetapi tidak dapat mengubahnya.

{
  "destinations": [{
    "url": "https://api.example.com/hooks/stripe",
    "event_types": ["invoice.*", "checkout.session.completed"],
    "rate_limit": 20,
    "delay_seconds": 5
  }]
}

Di Pro dan Scale, sebuah App dapat menjalankan kode Anda sendiri pada setiap event yang diterimanya, di dalam sandbox, tanpa server milik Anda. Menyimpan kode memberi App sebuah tujuan yang menjalankannya, sehingga percobaan ulang, putar ulang, circuit breaker, dan log event bekerja seperti pada tujuan lain, dan output konsol serta nilai kembalian setiap eksekusi menjadi respons pengiriman tersebut. Tulis kodenya di bagian Code (kode) pada App atau dengan endpoint di bawah. Template untuk tindakan umum ada di /code-templates.md, dan pindah dari Pipedream punya panduan tersendiri.

export default async function (event, { env, store }) {
  // event: { method, headers, body, raw_body, delivery_id, attempt }
  console.log(event.body);
}

• Event. body berisi JSON yang sudah di-parse, field form (urlencoded, atau field teks dari form multipart), atau teks mentah, dan raw_body adalah teks seperti yang diterima. method selalu POST; query string, path, dan IP pemanggil tidak disimpan. delivery_id adalah id X-AnyHook-Delivery milik event, dan attempt dihitung mulai dari 1, dengan 0 pada eksekusi uji.
• Kegagalan. Melempar error menggagalkan pengiriman, yang lalu dicoba ulang sesuai jumlah upaya paket (Jadwal percobaan ulang). Percobaan ulang untuk event yang eksekusinya sudah berhasil tidak menjalankannya lagi, tetapi eksekusi yang gagal setelah sebuah panggilan berhasil terkirim akan dijalankan lagi, jadi pakai delivery_id sebagai kunci untuk panggilan semacam itu jika API-nya mengizinkan.
• Step Pipedream. export default defineComponent({ async run({ steps, $ }) {} }) juga berjalan: steps.trigger.event adalah event di atas, $.export dan $.flow.exit berfungsi, setiap prop data_store adalah store milik App, $auth.field dari prop app membaca secret APP_FIELD, dan prop lain membaca secret yang dinamai sesuai prop tersebut (channelId membaca CHANNEL_ID). Panduan Pipedream mencantumkan apa saja yang tidak ikut terbawa.
• Paket npm. Apa yang diimpor kode diinstal saat Anda menyimpan, dengan versi yang dikunci ala Pipedream (import axios from "axios@1.7.9"), hingga 20 paket. Penyimpanan yang menginstal paket baru bisa memakan waktu beberapa menit; instalasi yang gagal tidak menyimpan apa pun.
• Secret. Dibaca sebagai env.NAME atau process.env.NAME, hingga 20, dinamai dengan huruf, angka, dan garis bawah, tidak diawali angka. PATH, HOME, NODE_OPTIONS, NODE_PATH, PWD dan nama yang diawali ANYHOOK_ milik runtime, dan sebuah nilai paling panjang 4.000 karakter. Nilai tidak pernah keluar dari server.
• Store. store.get, set (dengan { ttl } dalam detik), has, delete, keys, entries, dan clear menyimpan state di antara event, satu store per App: hingga 1.000 key dengan panjang hingga 256 karakter, setiap nilai paling besar 64.000 byte sebagai JSON. Impor menerima {"entries": {key: value}}, menimpa key yang sudah ada, dan mengaturnya tanpa TTL.
• Jadwal. schedule berisi lima field cron, dalam UTC kecuali diawali CRON_TZ=Area/City. Setiap kali jadwal berjalan, event anyhook.schedule dikirim ke URL App itu sendiri, sehingga dihitung sebagai satu eksekusi dan satu event, dan jadwal hanya berjalan selama kode aktif. Sumber App harus generic atau auto, tanpa signing secret: beri kode terjadwal App tersendiri.
• Email. Setiap App juga menerima email di {user-slug}.{app-slug}@anyhook.net, sebagai event email.received yang body-nya berisi from, to, subject, message_id, date, size, dan pesan MIME sebagai raw. Seperti jadwal, fitur ini memerlukan App dengan sumber generic atau auto tanpa signing secret, dan email yang melebihi batas payload paket akan di-bounce.
• Halaman web dan form. Sebuah halaman dapat memanggil fetch() ke URL masuk: edge menjawab preflight CORS, dan setiap jawaban membawa Access-Control-Allow-Origin: *. Form HTML biasa memerlukan method="post". Tambahkan ?redirect=https://your-site.com/thanks ke action form, dan event yang tersimpan akan mengarahkan pengunjung ke sana dengan 303, selama alamat itu berada di situs tempat form dikirim; jika tidak, pengunjung melihat halaman singkat "Received" (diterima). Field teks tiba di event.body; file yang diunggah tidak ikut tersimpan.
• Batas. Kode paling besar 64.000 byte, dan satu eksekusi boleh berjalan 105 detik di Pro dan 285 detik di Scale. Sebuah eksekusi menyimpan 16.000 karakter terakhir dari output konsolnya. Jumlah eksekusi per bulan ada di tabel paket, dan setiap eksekusi dihitung, termasuk percobaan ulang, eksekusi uji, putar ulang, dan jadwal yang berjalan. Tidak ada kelebihan pemakaian: setelah jatah eksekusi bulan itu habis, pengiriman ke kode menjawab 429 dan ditahan (circuit_open), tidak dicoba ulang, siap diputar ulang begitu bulan berganti atau paket ditingkatkan.
• Pengujian, aktif dan nonaktif. POST .../code/test menjalankan kode yang tersimpan pada event terbaru App yang tersimpan, sebuah event_id, atau body yang Anda kirim, lalu menjawab dengan log, nilai kembalian, dan durasinya. Pengujian dihitung sebagai satu eksekusi dan tidak mengirim apa pun, tetapi apa pun yang dikirim kode itu sendiri tetap terjadi. Event hanya menjalankan kode selama kode aktif. Dashboard menyimpan kode baru dalam keadaan nonaktif, sedangkan PUT .../code menyimpan versi pertama dalam keadaan aktif kecuali Anda mengirim "enabled": false; penyimpanan berikutnya mempertahankan keadaan saat itu. Selama tujuan lain masih menangani event yang sama, seperti saat migrasi, simpan dengan "enabled": false dan aktifkan kode setelah Anda menghapus tujuan itu. Kedua perubahan ini butuh waktu hingga satu menit untuk mencapai setiap lokasi edge.

Semua permintaan API memerlukan token Bearer di header Authorization:

Authorization: Bearer ahk_live_xxxxxxxxxxxxxxxx

Buat kunci API dari menu Dashboard → Settings → API Keys (kunci API). Kunci berlaku untuk akun Anda, memberi akses penuh atau akses hanya-baca (Anda memilihnya saat membuat kunci), dan dapat dicabut kapan pun. Aplikasi yang terhubung lewat sign-in MCP (anyhook.net/mcp) dapat memanggil endpoint yang sama dengan access token OAuth-nya, dalam batas akses yang Anda setujui.

AnyHook adalah server MCP di https://anyhook.net/mcp, sehingga agen dapat membuat App, membaca log event, dan memutar ulang kegagalan untuk Anda, serta, di Pro dan Scale, men-deploy dan menguji kode App (anyhook_code_deploy, anyhook_code_test, anyhook_code_get). Claude Code, claude.ai, Codex, dan VS Code terhubung dengan URL tersebut dan sign-in lewat browser, tanpa kunci yang perlu disalin: langkah untuk masing-masing.

Cursor, Windsurf, dan Claude Desktop memakai kunci. Buat kunci di menu Dashboard → Settings → API Keys, yang menampilkan konfigurasi ini dengan kunci Anda sudah terisi:

{
  "mcpServers": {
    "anyhook": {
      "command": "npx",
      "args": [
        "-y",
        "anyhook-mcp"
      ],
      "env": {
        "ANYHOOK_API_KEY": "ahk_live_xxxxxxxxxxxxxxxx"
      }
    }
  }
}

Cursor: Settings → MCP → Add new MCP server, atau ~/.cursor/mcp.json. Windsurf: ~/.codeium/windsurf/mcp_config.json. Claude Desktop: Settings → Developer → Edit Config. Tool kode memerlukan anyhook-mcp 0.4.0 atau yang lebih baru, yang diambil oleh npx -y, atau server di https://anyhook.net/mcp.

Lalu minta agen: “Buat App AnyHook untuk webhook Stripe saya dan berikan URL-nya.” Agen dapat membaca semua ini di /llms.txt.

Lihat detail harga lengkap →