Hey! Loved your recent set. Are custom requests open?
", "giphyId": null, "lockedText": false, "isFree": true, "price": 0, "isMediaReady": true, "mediaCount": 0, "media": [], "isTip": false, "fromUser": { "id": 441029, "name": "JohnDoe", "username": "johndoe", "avatar": "https://public.onlyfans.com/files/avatar/user.jpg" } } } ``` ## Seguridad de webhooks y verificación HMAC SHA-256 Para asegurarte de que los payloads entrantes provienen exclusivamente de fuentes de confianza y no han sido manipulados, debes verificar cada solicitud. La [guía de seguridad y verificación de webhooks con HMAC SHA-256](https://docs.onlyfansapi.com/webhooks/protecting-your-webhooks) recomienda añadir un secreto de firma a cada webhook; cuando lo configuras, cada entrega incluye un encabezado `Signature` con el digest hexadecimal HMAC SHA-256 del cuerpo sin procesar de la solicitud, calculado con el secreto de firma de ese webhook. Las IP de origen no son estables, así que verifica la firma en lugar de permitir IP concretas en una lista. La firma por sí sola no protege contra ataques de repetición; para eso, deduplica con el encabezado `X-OFAPI-Idempotency-Key`. ### Fragmento de verificación con Node.js / Express ```javascript const crypto = require('crypto'); const express = require('express'); const app = express(); app.use(express.raw({ type: 'application/json' })); app.post('/webhook/onlyfans', (req, res) => { const signature = req.headers['signature'] || ''; const signingSecret = process.env.ONLYFANS_WEBHOOK_SECRET; const computedSignature = crypto .createHmac('sha256', signingSecret) .update(req.body) .digest('hex'); const a = Buffer.from(signature); const b = Buffer.from(computedSignature); if (a.length !== b.length || !crypto.timingSafeEqual(a, b)) { return res.status(401).send('Invalid signature'); } const event = JSON.parse(req.body.toString()); const idempotencyKey = req.headers['x-ofapi-idempotency-key']; // deduplica con esta clave console.log(`Received event: ${event.event} for account ${event.account_id}`); // Responde primero (margen de 10 s) y procesa de forma asíncrona res.status(200).json({ received: true }); }); ``` ### Fragmento de verificación con Python / FastAPI ```python import hmac import hashlib import json from fastapi import FastAPI, Request, HTTPException, Header app = FastAPI() SIGNING_SECRET = "your_webhook_signing_secret" @app.post("/webhook/onlyfans") async def handle_onlyfans_webhook( request: Request, signature: str = Header(None), # nombre del encabezado: Signature x_ofapi_idempotency_key: str = Header(None), ): body = await request.body() computed_signature = hmac.new( SIGNING_SECRET.encode(), body, hashlib.sha256 ).hexdigest() if not hmac.compare_digest(computed_signature, signature or ""): raise HTTPException(status_code=401, detail="Invalid HMAC signature") payload = json.loads(body) event_type = payload.get("event") # Deduplica con x_ofapi_idempotency_key y luego procesa de forma asíncrona return {"status": "ok", "event": event_type} ``` ## Automatización y pipelines no-code En lugar de gestionar extensos backends de servidor personalizados, los equipos de growth y de operaciones usan [OnlyFansAPI](https://onlyfansapi.com/) para enviar los eventos directamente a plataformas de automatización estándar mediante [integraciones nativas](https://onlyfansapi.com/no-code). ### Flujo de trabajo con el nodo comunitario de n8n Con el paquete oficial de la [guía rápida de integración de OnlyFansAPI con n8n](https://docs.onlyfansapi.com/integrations/n8n) (`@onlyfansapi/n8n-nodes-onlyfansapi`), los usuarios pueden crear flujos de trabajo visuales: 1. **Disparador:** configura el disparador de OnlyFans API para que escuche `subscriptions.new`. 2. **Filtro:** enruta a los suscriptores de pago (`payload.replacePairs["{PRICE}"]` no es `"free"`) por separado de quienes se suscriben gratis. 3. **Acción:** llama a un nodo de la API de OpenAI o de Claude para generar dinámicamente un [mensaje de bienvenida personalizado](/es/blog/mensaje-bienvenida-onlyfans-plantillas-automatizacion). 4. **Salida:** usa la acción de enviar mensaje del nodo `OnlyFans API` para saludar al suscriptor en cuestión de segundos. ### Disparadores instantáneos de Zapier La [app de Zapier de OnlyFansAPI y sus disparadores instantáneos](https://docs.onlyfansapi.com/integrations/zapier) permiten a operadores sin perfil técnico crear sistemas de alertas fiables: - **Disparador:** disparador instantáneo con Chat Message PPV Purchased (`messages.ppv.unlocked`). Zapier no tiene un disparador de propinas, así que enruta `tips.received` mediante un webhook sin procesar (raw). - **Acción 1:** envía una alerta enriquecida al canal de Slack dedicado del creador (p. ej., `#vip-revenue-alerts`). - **Acción 2:** registra el valor de vida del cliente (LTV) y los registros de propinas directamente en un CRM de Google Sheets o Airtable. ### Bots de notificaciones para Telegram y Slack Para los equipos de chat de agencias que gestionan varios creadores, enviar las alertas de propinas directamente a Telegram permite que tu equipo atienda casi en tiempo real a los VIP de alto valor. Llama a esta función desde tu controlador de `tips.received` con `payload["amountGross"]` como cantidad y `payload["user"]["name"]` como nombre del fan: ```python import requests def send_telegram_alert(bot_token, chat_id, fan_name, tip_amount, creator_handle): message = ( f"🚨 *NEW TIP RECEIVED*\n" f"• *Creator:* @{creator_handle}\n" f"• *Fan:* {fan_name}\n" f"• *Amount:* ${tip_amount:.2f}\n" f"⚡ *Action Required:* Prioritize reply in chat." ) url = f"https://api.telegram.org/bot{bot_token}/sendMessage" requests.post(url, json={ "chat_id": chat_id, "text": message, "parse_mode": "Markdown" }) ``` ## Resiliencia en la entrega de webhooks y arquitectura de reintentos Las cuentas de creadores con mucho volumen reciben ráfagas de interacciones durante los envíos masivos de DM o las transmisiones en vivo. Las implementaciones de consumidores de webhooks bien construidas deben seguir patrones estrictos de fiabilidad para evitar la pérdida de datos o el envío de mensajes duplicados. Para lograr la máxima disponibilidad, los equipos de desarrollo deben implementar estos tres patrones fundamentales: 1. **Confirmación inmediata (handshake `2xx`):** una entrega solo se considera correcta si tu endpoint devuelve un `2xx` dentro del tiempo de espera de 10 segundos de la solicitud (5 segundos para establecer la conexión). Guarda el payload, responde y solo después lanza operaciones largas, como la generación de texto con un LLM o el procesamiento complejo de imágenes. 2. **Salvaguardas de idempotencia:** la entrega es al menos una vez (at-least-once), no exactamente una vez. Los consumidores deben guardar el valor del encabezado `X-OFAPI-Idempotency-Key` (p. ej., `evt_9c1f0a4b…`), que se mantiene idéntico en cada reintento y en cada reenvío manual del mismo evento, y omitir los eventos ya procesados. Así se evitan acciones duplicadas, como enviar dos DM de bienvenida. Los eventos efímeros como `users.typing` no llevan clave. 3. **Reintentos y recuperación:** si tu servidor devuelve cualquier estado que no sea 2xx o se agota el tiempo de espera, el sistema de envío hace hasta 3 intentos en total: de inmediato, unos 10 segundos después del primer fallo y unos 100 segundos después del segundo. Después, la entrega se abandona (un `404` o un `410` detiene los reintentos de inmediato). Los registros de entrega se conservan durante 7 días y cualquiera de ellos se puede reenviar con el endpoint Redeliver Webhook Delivery. Tras 20 entregas fallidas consecutivas, el webhook se pausa y los eventos que se disparan mientras está en pausa se pierden: recupera los datos de ese intervalo desde la API.