1. Selecciona Orchestrator en el lanzador de productos.

2. Selecciona una carpeta y luego navega a la pestaña Conexiones .

3. Selecciona Añadir conexión.

4. Para abrir la página de creación de conexiones, selecciona el conector de la lista. Puedes utilizar la barra de búsqueda para encontrar el conector.

5. En el campo Para qué aplicación es este webhook , introduce un nombre descriptivo para la aplicación de webhook, algo que facilite la identificación de qué proveedor o integración representa esta conexión. Este valor se convierte en el Identificador de conexión.

6. (Optional) Configure header-based authentication.

   If you want UiPath to validate every incoming webhook request, from the Authentication Type dropdown select Header Based Authentication, then specify:

   • Header key — the HTTP header the vendor uses to send the credential (for example, X-API-Key or X-API-Secret).
   • Header value — the secret value the vendor sends in that header (for example, a1b2c3d4e5f6789...). This field is masked and stored securely. You can also use a credential asset for this field.

   Configure the same header key and value in the vendor's webhook settings. If the values don't match at runtime, UiPath rejects the request with HTTP 401.

   For more information, see Webhook header authentication.

7. Configurar la ubicación del desafío
   Elige cómo enviará el proveedor el token de desafío para que UiPath pueda responder correctamente:

   • Sin desafío : el proveedor no requiere un apretón de manos y puedes proceder a conectarte.
   • Parámetro de consulta (por ejemplo, ?challenge=...)
   • Cuerpo JSON (POST con { "challenge": "..." })
   • Encabezado (por ejemplo, X-Hub-Challenge)

8. Configure la verificación de desafío y conéctese
   If the vendor requires a handshake, enter the challenge verification that matches the vendor's pattern (which field/header/query to read and how to echo/validate it). When configuration is complete, select Connect.

   Where available, select the menu next to a field and choose Use credential asset or Use Orchestrator asset to reference an Orchestrator asset instead of entering the value directly. For more information, see Use credential assets for connections.

Compatibilidad con la verificación de desafíos​

• Proveedores que no utilizan la verificación de desafío
• Proveedores que requieren un protocolo de enlace de desafío antes de activar el webhook

Cuando los proveedores no utilizan la verificación por desafío​

• Los usuarios solo necesitan crear o seleccionar una conexión.
• Copia la URL del webhook.
• Pégalo en la configuración de webhook del proveedor.

Cuando los proveedores requieren verificación de desafío​

• Los usuarios deben configurar la respuesta de desafío en la conexión HTTP Webhook.
• UiPath escucha la solicitud de desafío del proveedor.
• UiPath devuelve automáticamente el valor de desafío correcto en función de la configuración.
• Una vez que el proveedor valida la respuesta, los eventos normales comienzan a fluir.

Configurar la verificación de desafío​

• Clave de desafío
  Campo/clave que contiene el valor de desafío. Se utiliza para detectar solicitudes de desafío (no debe ser nulo).

• Ubicación del desafío
  Donde aparece la clave:

  • Cuerpo
  • Parámetro de consulta
  • Encabezado

• Tipo de contenido de la respuesta al desafío
  Formato de la respuesta devuelta al proveedor:

  • texto/sin formato
  • application/json

• Formato de respuesta al desafío
  Define qué valor se devuelve (normalmente la propia clave de desafío).
  UiPath extrae el valor del desafío entrante y responde en consecuencia.

Ejemplos de configuración de desafío​

Ejemplo genérico​

Solicitud entrante​

 {
  "challenge": "ABC123"
 }
 {
  "challenge": "ABC123"
 }

• Clave de desafío: challenge != null
• Ubicación del desafío: cuerpo
• Tipo de respuesta: text/plain
• Formato de respuesta: challenge

Respuesta​

Ejemplo de verificación de desafío de WhatsApp​

Configuración​

Solicitud de proveedor​

Respuesta esperada de UiPath​

HTTP/1.1 200 OK
Content-Type: text/plain

1234567890
HTTP/1.1 200 OK
Content-Type: text/plain

1234567890

Resumen: genérico frente a WhatsApp​

Ejemplos por patrón de proveedor​

Ejemplo 1: desafío de cuerpo simple con respuesta de texto​

Envíos del proveedor​

Ejemplo 2: desafío de parámetro de consulta con respuesta de texto​

Envíos del proveedor​

Ejemplo 3: Desafío de cuerpo con respuesta JSON​

Envíos del proveedor​

Ejemplo 4: ruta del cuerpo anidado (por ejemplo, verification.token) con respuesta de texto​

Envíos del proveedor​

Ejemplo 5: ruta profundamente anidada con respuesta JSON​

Envíos del proveedor​

Ejemplo 6: Desafío basado en encabezado (nombre de encabezado con guiones) con respuesta de texto​

Envíos del proveedor​

Ejemplo 7: Detección booleana con diferente clave de respuesta​

Envíos del proveedor​

Cómo funciona​

1. Checks every incoming request for the configured header key.
2. Accepts the event if the header is present and its value matches the stored secret.
3. Returns HTTP 401 Unauthorized and does not trigger any workflow if the header is absent or its value does not match.

POST /webhook HTTP/1.1
Host: <your-uipath-webhook-url>
X-API-Key: a1b2c3d4e5f6789...
Content-Type: application/json

{ "event": "..." }
POST /webhook HTTP/1.1
Host: <your-uipath-webhook-url>
X-API-Key: a1b2c3d4e5f6789...
Content-Type: application/json

{ "event": "..." }

HTTP/1.1 401 Unauthorized
HTTP/1.1 401 Unauthorized

Campos de configuración​

Vendor compatibility​

Updating or rotating the secret​

Behavior when authentication fails​

• The expected header is absent from the request.
• The header is present but its value does not match the stored secret.

Notas importantes​

• Header-based authentication is connection-scoped. All triggers created against the same connection share the same header key and value — updating the connection's secret affects every trigger using it.
• Header-based authentication is independent of challenge verification. Either, both, or neither can be enabled on a connection.
• The header value is stored encrypted and should be handled with the same care as any other credential.
• Header names are case-insensitive per the HTTP specification (X-API-Key and x-api-key are equivalent).