Postbacks et webhooks d’installation, mode d’emploi
Un postback prévient un réseau publicitaire que son clic est devenu une installation. Un webhook prévient votre propre serveur. Comment ils fonctionnent, et comment les recevoir en toute sécurité.
Les réseaux publicitaires et les plateformes d’affiliation paient à l’installation : ils doivent donc être prévenus de chacune. Votre fournisseur d’attribution s’en charge en appelant une URL qu’ils vous fournissent, c’est le postback. Faites pointer le même appel vers votre backend, et c’est un webhook.
L’aller-retour d’un click ID
Réseau publicitaire
Appy
- 01Le clic
GET acme.appy.to/spring?clickid=a1b2c3Le réseau ajoute son click ID à votre lien.
- 02L’installation
install → /spring clickid = a1b2c3Le premier lancement est relié à ce clic.
- 03Le postback
GET postback.network.example/install ?click_id=a1b2c3Le même ID repart vers le réseau, qui compte une conversion.
Postback
- Vers un réseau publicitaire
- GET, valeurs dans l’URL
- Transporte le click ID du réseau
Webhook
- Vers votre propre serveur
- POST, corps JSON
- Transporte l’installation, le lien et l’événement
Les quatre vérifications d’un récepteur sûr
Vérifier un webhook Appy
Node.js
import crypto from 'node:crypto';
export function verifyAppySignature(header, rawBody, secret) {
const parts = Object.fromEntries(header.split(',').map((part) => part.split('=')));
const age = Math.abs(Date.now() / 1000 - Number(parts.t));
if (!parts.t || !parts.v1 || age > 300) return false;
const expected = crypto.createHmac('sha256', secret).update(`${parts.t}.${rawBody}`).digest('hex');
if (parts.v1.length !== expected.length) return false;
return crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(parts.v1));
}Quand votre endpoint est indisponible
- timeout par requête
- 10 s
- relances sur 429, 5xx ou timeout
- 5
- avant la dernière relance
- 12 h
- de journal des livraisons
- 30 jours
timeout par requête
relances sur 429, 5xx ou timeout
avant la dernière relance
de journal des livraisons
Où Appy envoie les installations
Sur l’offre Enterprise, jusqu’à 10 postbacks par app, chacun testé depuis le tableau de bord avant sa mise en service.
Nouvelle installation
signé et relancé
- Réseau d’affiliation ou CPISon click ID, en retour
- Votre backendWebhook JSON complet
- Votre CRMAchats uniquement
- Optimisation Meta ou GoogleNon pris en charge
À lire ensuite
Questions
Qu’est-ce qu’un postback S2S ?
Un appel de serveur à serveur qui signale à un réseau publicitaire qu’un clic est devenu une installation, avec son click ID.
Comment éviter les doubles comptages ?
Les relances réutilisent le même identifiant de livraison. Ignorez ceux que vous avez déjà traités.
Comment savoir si un webhook vient vraiment d’Appy ?
Vérifiez l’en-tête Appy-Signature et rejetez tout ce qui a plus de cinq minutes.
Peut-on envoyer des postbacks à Meta ou à Google Ads ?
Pas pour optimiser les campagnes. Les postbacks servent aux réseaux d’affiliation, aux outils d’influence et à vos propres systèmes.
Continuer à explorer
Attribution Apple Ads sans MMP
Apple vous dit quelle campagne et quel mot-clé ont amené une installation, avec un seul token et un appel serveur, sans IDFA ni demande de suivi.
Déchiffrer le Meta Install Referrer sur Android
Facebook et Instagram indiquent à votre app la campagne, l’ensemble de publicités et la publicité derrière chaque installation, affichages compris, avec des données chiffrées par votre propre clé.
Deferred deep linking sans SDK : comment ça marche vraiment sous le capot
On peut transporter le contexte d’un lien à travers une installation sans embarquer de SDK d’attribution. Voici ce qui survit réellement à la frontière du store sur Android et iOS, ce qui casse, et le coût de chaque contournement en matière de vie privée.
Vous cherchez autre chose ? Parcourez tous les sujets sur le blog.
Chaque installation, là où elle doit arriver
Appy attribue les installations issues de vos liens, QR codes, Apple Ads, Google Ads et Meta, puis transmet chacune, signée et relancée en cas d’échec.