Etki Alanı Son Kullanma Webhook Bildirimleri: Otomatik İzlemeye Yönelik Bir Geliştirici Kılavuzu

API'leri etki alanı durumunu kontrol etmek için her birkaç dakikada bir yoklamak israf ve güvenilmezdir. Webhook bildirimleri modeli tamamen tersine çevirir. Sistemleriniz sürekli olarak bir şey değişip değişmediğini sormak yerine, bir izleme hizmeti, bir şey meydana gelir gelmez güncellemeleri uç noktanıza gönderir. Etki alanı yönetimi için bu, son kullanma tarihleri kayarken, WHOIS kayıtları güncellendiğinde veya aktarım kilitleri değiştiğinde anında uyarılar anlamına gelir. 2025 Catchpoint anketine göre, DNS ile ilgili kesintilerin %73'ü süresi dolmuş veya yanlış yapılandırılmış etki alanlarına kadar uzanır. Webhooks, mühendislik ekiplerine kullanıcılar bunu fark etmeden bu hataları önlemek için ihtiyaç duydukları gerçek zamanlı sinyalleri verir. Bu kılavuz, etki alanı son kullanma webhook'lerinin nasıl çalıştığını, HMAC imzalamaları ile nasıl güvenli hale getirileceğini ve Slack'e, PagerDuty'ye veya kendi otomasyon ardışık düzene nasıl entegre edileceğini kapsar.

Webhook Bildirimleri Nedir?

Webhook, tanımlı bir olay meydana geldiğinde sunucudan sizin belirttiğiniz URL'ye gönderilen bir HTTP POST isteğidir. Uygulamanızın güncellemeler için API'yi sürekli olarak sorguladığı geleneksel yoklama yöntemi aksine, webhook'lar verileri yalnızca bir şey gerçekten değiştiğinde iletir. Bu olay odaklı yaklaşım gereksiz ağ trafiğini azaltır ve önemli durum değişiklikleri hakkında neredeyse anında bilgi sahibi olmanızı sağlar. Alan adı izleme bağlamında, webhook bir alan adının son kullanma tarihi değiştiğinde, WHOIS verileri güncellendiğinde veya alan adı yeşillik veya kurtarma dönemine girdiğinde tetiklenir. Alıcı uç noktanız yükü işler ve bir Slack mesajı, bir veritabanı güncellemesi veya otomatik yenileme iş akışı olsun, ihtiyacınız olan herhangi bir eylemi tetikler.

• Anında teslimat - olay ve bildirim arasında yoklama gecikmesi yoktur
• API çağrılarının azaltılması - sunucunuz yalnızca gerçek değişiklikleri işler
• Güvenilir sıralama - olaylar zaman damgasıyla birlikte sırasında gelir
• Esnek yönlendirme - farklı alan adı olaylarını farklı uç noktalara yönlendirin
• Zengin yük - her bildirim tam bağlam içerir, bu nedenle nadiren takip eden bir API çağrısına ihtiyacınız vardır

İzlemeye Değer Alan Adı Olayları

Her WHOIS değişikliği eşit derecede önemli değildir. En kritik olay, yaklaşan bir son kullanma tarihidir. Çoğu kayıt kuruluşu kendi yenileme hatırlatıcılarını gönderir, ancak bu e-postalar genellikle spam klasörlerine gider veya artık kimsenin kontrol etmediği bir adrese ulaşır. Dynadot'un 2024 yılı analizi, yanlışlıkla alan adı kaybı yaşanan olayların yaklaşık %25'inin kaydın sahibinin iletişim e-postasının güncel olmadığından kaynaklandığını bulmuştur. Webhook bildirimleri bu sorunu tamamen ortadan kaldırarak uyarıları ekibinizin gerçekten izlediği altyapıya (Slack kanalı veya olay yönetimi platformu gibi) iletir.

Son kullanma tarihlerinin ötesinde, webhook'lar aracılığıyla izlemeye değer birkaç alan adı olayı vardır. Transfer kilit durumu değişiklikleri dikkate değerdir, çünkü eksik bir clientTransferProhibited bayrağı birinin yetkisiz bir transfer başlatabilmesi anlamına gelir. Ad sunucusu değişiklikleri bir hack denemesini veya yanlışlıkla yapılandırmayı gösterebilir. Kayıt kuruluşu değişiklikleri, bir alan adının transfer edildiğini gösterir; bu, rakip alan adlarını izliyorsanız veya satın almaları takip ediyorsanız önemlidir. WHOIS gizlilik değişiklikleri sahiplik değişikliklerini ortaya çıkarabilir. Son olarak, clientHold veya serverHold gibi durum kodu değişiklikleri alan adının çözülmeyi durdurduğu anlamına gelir; bu da herhangi bir üretim hizmeti için acil bir durumdur.

Alan Adı Son Kullanma Tarihi Webhook'larını Ayarlama

Bir webhook alıcısını kurmak, temel bir uygulama için yaklaşık on beş dakika alır. POST isteklerini kabul eden, JSON yüklerini ayrıştıran ve hızlı bir şekilde 200 durum kodu döndüren bir HTTPS uç noktasına ihtiyacınız vardır. Anahtar kelime hızlı olmaktır. Webhook göndericileri genellikle 5 ile 30 saniye arasında zaman aşımları uygularlar. Uç noktanız çok uzun yanıt verirse, gönderici yeniden deneyebilir ve bu da yinelenen işlemeye yol açabilir. En iyi uygulama, alındığını hemen onaylamak ve gerçek işlemi bir iş sırası aracılığıyla asenkron olarak gerçekleştirmektir. DomainExpiryCheck.com gibi araçlar, hesap ayarlarında bir webhook URL'si yapılandırmanıza, hangi olaylarla ilgilendiğinizi belirtmenize ve canlıya geçmeden önce bağlantıyı test etmenize olanak tanır.

Uç noktanız, işlemeden önce gelen her isteği doğrulamalıdır. Content-Type başlığını kontrol ederek application/json olduğunu onaylamakla başlayın. Yükü ayrıştırın ve olay türü, alan adı ve zaman damgası gibi gerekli alanların mevcut olduğunu doğrulayın. Doğrulama başarısız olsa da dahil olmak üzere gelen her webhook'u kayıt altına alın, çünkü bu kayıtlar hata ayıklama için gerekli olur. Olay kimliklerini izleyerek eşitlik uygulayın, böylece yeniden denenen teslimatlar yinelenen eylemleri tetiklemez. Bir yük dengeleyici veya ters proxy'nin arkasında çalışıyorsanız, webhook göndericisinin IP aralıklarının güvenlik duvarınız veya hız sınırlayıcınız tarafından engellenmediğinden emin olun.

Webhook Güvenliği ve HMAC İmzalaması

Korumasız bir webhook uç noktası açık bir kapıdır. URL'nizi keşfeden biri yanlış uyarıları tetiklemek için sahte yükler gönderebilir veya daha kötüsü, otomasyon iş akışlarınızı manipüle edebilir. HMAC-SHA256 imzalaması bu sorunu çözer. Webhook gönderici ve sunucunuz bir gizli anahtarı paylaşırlar. Her teslimatta, gönderici bu gizli anahtarı kullanarak istek gövdesinin karmasını hesaplar ve imzayı bir başlığa dahil eder. Sunucunuz karmasını aynı gizli anahtarla yeniden hesaplar ve iki değeri karşılaştırır. Eşleşirse, istek orijinaldir. Aksi takdirde, reddedersiniz. Bu, Stripe, GitHub ve Slack'ın kendi webhook'ları için kullandığı mekanizmayla aynıdır. OWASP'ın 2024 API Güvenliği raporuna göre, imzasız webhook'lar üretim sistemlerinde istismar edilen ilk 10 API güvenlik açığı arasında yer almaktadır.

• Her zaman HMAC-SHA256 veya daha güçlüsünü kullanın - asla MD5 veya düz SHA1 kullanmayın
• Zamanlama saldırılarını önlemek için sabit zaman karşılaştırma işlevini kullanarak imzaları karşılaştırın
• Webhook gizli anahtarınızı düzenli olarak döndürün ve her iki tarafta da güncelleyin
• 5 dakikadan eski zaman damgasına sahip istekleri reddedin - yeniden oynatma saldırılarını önlemek için
• Yalnızca HTTPS kullanın - düz HTTP üzerinden webhook'ları asla kabul etmeyin
• Webhook gizli anahtarınızı kaynak kodda değil ortam değişkenlerinde saklayın
• Reddedilen istekleri güvenlik denetimi için kaynak IP'si ile kayıt altına alın

Slack ve Otomasyon Araçlarıyla Entegrasyon

En basit entegrasyon, alan adı son kullanma tarihi webhook'larını bir Slack kanalına iletmektir. Slack'in Gelen Webhook'lar özelliği, JSON yüklerini kabul eden ve bunları ileti olarak gönderen bir URL sağlar. Alan adı izleme webhook'larını alan, bunları Slack'in Block Kit yapısına dönüştüren ve ileten küçük bir ara yazılım hizmeti oluşturabilirsiniz. Daha karmaşık iş akışları için Zapier, Make veya n8n gibi araçlar webhook'larınızı alabilir ve bunları kod yazmadan yüzlerce hedefe yönlendirebilir. Yaygın bir kurulum, alan adı son kullanma tarihi uyarılarını hem görünürlük için Slack'e hem de izleme için Jira veya Linear gibi bir proje yönetimi aracına yönlendirir. Kod yazmayı tercih eden mühendislik ekipleri için, bir bulut işlevinde çalışan basit bir Node.js veya Python hizmeti iyi çalışır. İşlev HMAC imzasını doğrular, olay türünü kontrol eder ve uyarıları buna göre gönderir. Daha gelişmiş kurulumlar PagerDuty'ye kritik alan adları için entegre olur veya kayıt kuruluşu API'leri aracılığıyla otomatik yenileme komut dosyalarını tetikler. DomainExpiryCheck.com webhook testi destekler, bu nedenle entegrasyonunuzun üretim uyarılarına dayanmadan önce doğru çalıştığını doğrulamak için örnek bir yük gönderebilirsiniz.