Documentation

Webhooks

Votre logiciel est prévenu en direct de ce qui arrive à vos annonces, sans avoir à interroger l’API.

Indiquez l’adresse https de votre logiciel dans Mon espace API ; un bouton y envoie un appel de test. Sitigeo envoie un POST JSON pour chaque événement ; en cas d’échec (pas de réponse 2xx en 5 secondes), un nouvel essai part une minute plus tard.

Événement	Quand
listing.published	Annonce créée ou mise à jour (avec ses warnings)
listing.rejected	Annonce refusée par le contrôle qualité (avec la liste des problèmes)
listing.removed	Annonce retirée (DELETE ou synchronisation)
contact.received	Un acquéreur a écrit au sujet d’une annonce
test	Appel de test depuis votre espace

Exemple

POST https://mon-logiciel.fr/webhooks/sitigeo
Content-Type: application/json
Sitigeo-Signature: t=1793110000,v1=5f2b…

{
  "id": "evt_8c1e…",
  "type": "contact.received",
  "created_at": "2026-10-27T14:20:00.000Z",
  "agency": { "siren": "123456789" },
  "data": {
    "reference": "AG-2026-118",
    "listing_id": 902583,
    "conversation_url": "https://www.sitigeo.com/fr/mon-espace/messages/5121",
    "buyer": { "name": "Camille Martin", "email": "…", "phone": "…" },
    "message": "Bonjour, le bien est-il toujours disponible ?"
  }
}

Vérifier la signature

Chaque appel est signé avec le secret affiché à la création du webhook : v1 est le HMAC-SHA256, en hexadécimal, de <t>.<corps brut>. Refusez un appel dont la signature ne correspond pas ou dont l’horodatage a plus de 5 minutes.

Node.js

import { createHmac, timingSafeEqual } from 'node:crypto'

function signatureValide(entete, corpsBrut, secret) {
  const { t, v1 } = Object.fromEntries(entete.split(',').map((p) => p.split('=')))
  const attendu = createHmac('sha256', secret).update(`${t}.${corpsBrut}`).digest('hex')
  return v1?.length === attendu.length
    && timingSafeEqual(Buffer.from(v1), Buffer.from(attendu))
    && Math.abs(Date.now() / 1000 - Number(t)) < 300
}

PHP

$parts = [];
foreach (explode(',', $_SERVER['HTTP_SITIGEO_SIGNATURE']) as $p) { [$k, $v] = explode('=', $p, 2); $parts[$k] = $v; }
$attendu = hash_hmac('sha256', $parts['t'] . '.' . file_get_contents('php://input'), $secret);
$ok = hash_equals($attendu, $parts['v1']) && abs(time() - (int) $parts['t']) < 300;

L’adresse doit être publique et en https ; une adresse locale ou privée est refusée.

Événement

Quand

listing.published

Annonce créée ou mise à jour (avec ses warnings)

listing.rejected

Annonce refusée par le contrôle qualité (avec la liste des problèmes)

listing.removed

Annonce retirée (DELETE ou synchronisation)

contact.received

Un acquéreur a écrit au sujet d’une annonce

test

Appel de test depuis votre espace

POST https://mon-logiciel.fr/webhooks/sitigeo Content-Type: application/json Sitigeo-Signature: t=1793110000,v1=5f2b… { "id": "evt_8c1e…", "type": "contact.received", "created_at": "2026-10-27T14:20:00.000Z", "agency": { "siren": "123456789" }, "data": { "reference": "AG-2026-118", "listing_id": 902583, "conversation_url": "https://www.sitigeo.com/fr/mon-espace/messages/5121", "buyer": { "name": "Camille Martin", "email": "…", "phone": "…" }, "message": "Bonjour, le bien est-il toujours disponible ?" } }

Vérifier la signature

Node.js

import { createHmac, timingSafeEqual } from 'node:crypto'

function signatureValide(entete, corpsBrut, secret) {
  const { t, v1 } = Object.fromEntries(entete.split(',').map((p) => p.split('=')))
  const attendu = createHmac('sha256', secret).update(`${t}.${corpsBrut}`).digest('hex')
  return v1?.length === attendu.length
    && timingSafeEqual(Buffer.from(v1), Buffer.from(attendu))
    && Math.abs(Date.now() / 1000 - Number(t)) < 300
}

PHP

$parts = [];
foreach (explode(',', $_SERVER['HTTP_SITIGEO_SIGNATURE']) as $p) { [$k, $v] = explode('=', $p, 2); $parts[$k] = $v; }
$attendu = hash_hmac('sha256', $parts['t'] . '.' . file_get_contents('php://input'), $secret);
$ok = hash_equals($attendu, $parts['v1']) && abs(time() - (int) $parts['t']) < 300;

L’adresse doit être publique et en https ; une adresse locale ou privée est refusée.