Webhooks frente a polling en un panel SMM: qué debería usar realmente un panel hijo
La mayoría de las API SMM públicas te dicen que consultes el estado. NotPanel firma cada evento. Para automatizar un panel hijo, esa es la diferencia entre un cron y un contrato.
Después de reenviar un pedido, un panel hijo tiene una sola tarea: saber si terminó, quedó parcialmente completado, fue reembolsado o falló, sin adivinar.
La página pública de la API de JustAnotherPanel no documenta webhooks salientes. La de CheapSMMPanel tampoco. La integración implícita es consultar action=status hasta que cambie el texto.
La API v2 de NotPanel incluye webhook.add, webhook.list y webhook.remove. Cada entrega usa HMAC-SHA256 sobre el cuerpo original, queda ligada a una marca de tiempo y lleva un evento con nombre. Eso es un contrato, no una captura de un interruptor.
¿Cómo se entera tu panel hijo de que terminó un pedido?
Toca una. Se guarda solo en este dispositivo — no es una encuesta inventada.
El polling es un bucle. Un webhook es un evento.
Por qué un POST sin firma no es un webhook
Una URL de webhook es pública por definición. Sin una firma, cualquiera que la adivine puede decirle a tu sistema que un pedido terminó. Firmamos el cuerpo original, añadimos X-NotPanel-Signature, X-NotPanel-Timestamp y X-NotPanel-Event, y rechazamos entregas de más de cinco minutos. Las URL privadas y de red local nunca se registran.
La entrega es al menos una vez. Tu handler todavía debe ser idempotente. No afirmamos entrega exactamente una vez; nadie honesto sobre redes lo hace. La receta de verificación está en el recorrido de HMAC.
Cuándo sigue siendo correcto consultar el estado
- Estás usando un panel que no tiene documentación de webhooks. La mayoría.
- Necesitas un respaldo mientras el endpoint de webhook está caído.
- Estás reconciliando un lote: usa orders= con hasta 100 IDs, no una llamada por fila.
Respeta X-RateLimit-Reset cuando recibas un 429. JAP y CheapSMM no publican esas cabeceras; si te limitan, lo descubres cuando te bloquean. Nuestra página de límites muestra las tres capas.
El polling pregunta «¿pasó algo?». Un webhook firmado dice «pasó esto y puedes demostrar que fuimos nosotros».
Este es el contrato de automatización
Un panel hijo conectado a una página /api clonada es un bucle de polling con esperanza. Conectado a NotPanel puede registrar una URL HTTPS, elegir eventos y acreditar o debitar aguas abajo solo después de verificar la firma.
No es una sensación de «tenemos más funciones». Es una lista corta que puedes abrir sin cuenta: webhooks, errores, add idempotente y la comparación. Un storefront nuevo con un contrato más antiguo que la fotocopia.
action=webhook.add&url=https://your-server.example.com/notpanel-webhook&events=order.completed,order.refunded,balance.low
Combínalo con el artículo sobre el doble cobro de un reintento con timeout . Los reintentos y los eventos son los dos lugares donde las API clonadas pierden dinero.
Preguntas frecuentes
¿Debo consultar o usar webhooks para un panel SMM?
Usa webhooks firmados como ruta principal y conserva un polling lento de varios estados como respaldo. El modo de solo polling es lo que haces cuando la documentación pública del panel no tiene una sección de webhooks, como ocurre con la mayoría.
¿JustAnotherPanel y CheapSMMPanel tienen webhooks?
No aparecen en sus páginas públicas de API según el contrato que publican. Ambas documentan action=status; si añadieron webhooks después, no están en esas páginas de invitados.
¿Cuál es el mejor panel SMM para automatizar un reseller?
El que cubre el ciclo completo: add idempotente, eventos firmados de finalización y reembolso, códigos HTTP reales y límites documentados. El tamaño del catálogo es otra clasificación.
¿Son seguros los webhooks SMM sin firma?
No. La URL es pública y cualquiera que la adivine puede falsificar una finalización. Exige HMAC del cuerpo original, una ventana de tiempo y una comparación en tiempo constante.
¿NotPanel promete entrega exactamente una vez?
No. Las entregas son al menos una vez y tu handler debe ser idempotente. La entrega exactamente una vez por Internet público no es una promesa honesta.