Sicherheitseinstellungen
Der Tab Security entscheidet, wer den Assistenten laden darf und wie dieser nachweist, dass er es darf. Er besteht aus zwei Teilen: einem Authentifizierungsmodus und einer Liste erlaubter Origins.
Authentifizierungsmodus
Wird auf dem Tab Security unter „Assistant authentication type?“ festgelegt. Drei Modi:
| Modus | Erfordert | Wann verwenden |
|---|---|---|
| None | Nichts | Öffentliche Hilfecenter und offene Websites – jeder auf einem erlaubten Origin kann den Assistenten laden. |
| API | Einen API-Schlüssel | Private Websites ohne komplexe Authentifizierung – die Einbettung übergibt den Schlüssel als accessToken. |
| OIDC | Issuer + Audience | Apps mit einem Identitätsanbieter – die Einbettung übergibt das JWT Ihres Anbieters als accessToken, und Seekdown validiert es. |
- None – der Assistent startet allein mit einer
assistantId. Gut für öffentliche Assistenten, bei denen Sie keinerlei Hürden möchten. - API – die Einbettung muss einen Assistenten-Schlüssel als
accessTokenübergeben. Erzeugen Sie ihn auf dem Tab Keys. Gut für Websites, deren Quellcode Sie kontrollieren, ohne einen Authentifizierungsanbieter zu haben. - OIDC – die Einbettung übergibt das JWT Ihres Identitätsanbieters als
accessToken; Seekdown validiert es gegen den konfigurierten Issuer und die Audience. Gut für Erlebnisse mit Anmeldung, wenn Sie bereits einen Auth-Stack haben (Firebase, Auth0, Azure AD usw.).
OIDC-Felder
Diese Felder erscheinen nur, wenn der Authentifizierungsmodus OIDC ist:
| Feld | Bedeutung | Beispiel (Firebase) |
|---|---|---|
| Issuer | Die URL des Token-Ausstellers Ihres Anbieters. | https://securetoken.google.com/{your-project-id} |
| Audience | Der erwartete Audience-Claim im JWT. | {your-project-id} |
Erlaubte Origins
Die Liste Allowed origins gibt die Domains frei, die den Assistenten einbetten oder aufrufen dürfen – eine Sperre im Stil von CORS.
- Standard:
*(jeder Origin). Praktisch zum Testen, aber vor dem Launch einschränken. - Format: exakte Domains wie
example.comoderapp.example.com, oder*für alle. - Wirkung: Ein Assistent initialisiert sich nur auf einem Origin aus dieser Liste. Fehlt der Origin der einbettenden Seite, wird das Widget nicht geladen.
- Fügen Sie sowohl Staging- als auch Produktionsdomains hinzu, wenn Sie beide nutzen.
- Nehmen Sie bei Shopify Ihre
.myshopify.com-Domain und jede eigene Domain auf.
Origins vor dem Launch einschränken
Ersetzen Sie * vor dem Livegang durch Ihre echten Domains. Ein Platzhalter-Origin bedeutet, dass jeder Ihren Assistenten auf jeder beliebigen Website einbetten kann.
Fehlerbehebung
- Lädt der Assistent auf einer Website nicht, öffnen Sie die Browserkonsole und prüfen Sie, ob der Origin der Seite in der Liste der erlaubten steht.
- Ein blockierter Origin zeigt sich meist dadurch, dass der Assistent einfach nicht erscheint, mit einer Konsolenmeldung, dass der Origin nicht erlaubt ist. Fügen Sie die exakte Domain hinzu und laden Sie neu.
- Könnte ein Schlüssel kompromittiert sein, erneuern Sie ihn auf dem Tab Keys und aktualisieren Sie jede Integration.
Verwandte Dokumente
- Erlaubte Origins konfigurieren
- Einen API-Schlüssel für den Assistenten erzeugen
- Einen Assistenten auf einer Website einbetten