企业微信群机器人 webhook 地址泄露后，官方不支持直接重置密钥，必须移除旧机器人并重新添加新机器人以生成新地址。适用场景为密钥已暴露给不可信方，风险边界在于切换期间监控消息会中断。
先说结论：企业微信群机器人 webhook 泄露后无法原地重置，需删除旧机器人并创建新机器人。
- 先判断：确认 webhook 地址是否已流入公共仓库或不可信人员手中
- 优先做：在企业微信群设置中移除旧机器人，重新添加新机器人获取新 webhook
- 再验证：使用 curl 命令向新地址发送测试消息，确认推送恢复正常
快速处理思路
处理 webhook 泄露的核心动作是替换地址而非修改配置，因为 webhook URL 本身包含认证密钥。
操作动作包括进入群设置找到机器人管理，删除旧实例并创建新实例。验证结果为新地址能接收消息且旧地址失效。风险边界为旧地址在删除前仍可能有效，需尽快完成切换。
为什么会这样
企业微信群机器人的 webhook 地址设计为一次性生成且包含密钥参数，官方未提供单独轮换密钥的功能。
webhook URL 中通常包含 key 参数，该参数即为认证凭证。公开资料中没有看到支持单独刷新 key 而保持 URL 不变的接口或界面选项。因此物理删除旧机器人是阻断旧密钥唯一的可靠方式。
分步处理
按照移除旧配置、创建新配置、更新业务系统的顺序执行，每一步需确认界面状态。
步骤 1：移除旧机器人
进入企业微信客户端，打开目标群聊，点击右上角菜单，选择“群机器人”。找到已泄露的机器人，点击进入详情，选择“移除”或“删除”。确认界面上该机器人不再出现在列表中。
步骤 2：创建新机器人
在“群机器人”界面点击“添加”，选择“新建机器人”，设置新名称。勾选协议后点击“添加”，复制生成的新 webhook 地址。保存该地址到安全密码管理器。
步骤 3：更新业务系统
登录监控平台或 CI/CD 系统，找到通知配置项。将旧 webhook 地址替换为新地址。保存配置并重启相关通知服务进程。
怎么验证是否生效
使用 curl 命令向新地址发送 POST 请求，检查返回码和内容。
执行命令：curl '新 webhook 地址' -H 'Content-Type: application/json' -d '{"msgtype":"text","text":{"content":"测试消息"}}'。验证结果为返回 JSON 数据中 errcode 为 0。同时在企业微信群内观察是否收到“测试消息”。旧地址发送请求应返回错误码或无响应。
常见坑
操作过程中容易忽略旧地址的缓存生效时间或权限同步延迟。
部分业务系统配置后需要重启服务才能加载新 URL，仅保存配置可能不生效。移除旧机器人后，旧 URL 通常立即失效，但网络缓存可能导致极少数延迟请求成功，建议移除后立刻测试旧地址确认不可用。群管理员权限不足可能导致无法移除机器人，需联系群主操作。
常见问题
能否只重置 key 而不删除机器人？
不能，企业微信官方目前不支持单独重置 webhook 中的 key 参数。
旧 webhook 地址删除后还会生效吗？
不会，移除机器人后该地址对应的认证凭证即刻失效，无法再发送消息。
新机器人会影响群内历史消息吗？
不会，机器人仅负责推送新消息，删除或新建操作不影响群聊历史记录。
参考来源
企业微信官方文档 - 群机器人配置，https://work.weixin.qq.com/api/doc