Ajustes de seguridad
La pestaña Security decide quién puede cargar el asistente y cómo demuestra que tiene permiso. Tiene dos partes: un modo de autenticación y una lista de orígenes permitidos.
Modo de autenticación
Se define en la pestaña Security como "Assistant authentication type?". Hay tres modos:
| Modo | Requiere | Cuándo usarlo |
|---|---|---|
| None | Nada | Centros de ayuda públicos y webs abiertas: cualquiera en un origen permitido puede cargar el asistente. |
| API | Una clave de API | Webs privadas sin una autenticación compleja: la integración pasa la clave como accessToken. |
| OIDC | Issuer + audience | Aplicaciones con un proveedor de identidad: la integración pasa el JWT de tu proveedor como accessToken y Seekdown lo valida. |
- None: el asistente arranca solo con un
assistantId. Útil para asistentes públicos en los que no quieres ninguna fricción. - API: la integración debe pasar una clave del asistente como
accessToken. Genérala en la pestaña Keys. Útil para webs en las que controlas el código fuente pero no tienes un proveedor de autenticación. - OIDC: la integración pasa el JWT de tu proveedor de identidad como
accessToken; Seekdown lo valida con el issuer y la audience configurados. Útil para experiencias con sesión iniciada en las que ya tienes un sistema de autenticación (Firebase, Auth0, Azure AD, etc.).
Campos de OIDC
Estos campos solo aparecen cuando el modo de autenticación es OIDC:
| Campo | Qué es | Ejemplo (Firebase) |
|---|---|---|
| Issuer | La URL del emisor de tokens de tu proveedor. | https://securetoken.google.com/{your-project-id} |
| Audience | El claim de audiencia esperado en el JWT. | {your-project-id} |
Orígenes permitidos
La lista Allowed origins autoriza los dominios que pueden integrar o llamar al asistente: un filtro al estilo de CORS.
- Por defecto:
*(cualquier origen). Cómodo para hacer pruebas, pero restríngelo antes del lanzamiento. - Formato: dominios exactos como
example.comoapp.example.com, o*para todos. - Efecto: un asistente solo se inicializa en un origen de esta lista. Si falta el origen de la página que lo integra, el widget no se carga.
- Añade los dominios de staging y de producción si usas ambos.
- En Shopify, incluye tu dominio
.myshopify.comy cualquier dominio personalizado.
Restringe los orígenes antes del lanzamiento
Sustituye * por tus dominios reales antes de salir en vivo. Un origen comodín significa que cualquiera puede integrar tu asistente en cualquier web.
Solución de problemas
- Si el asistente no se carga en una web, abre la consola del navegador y confirma que el origen de la página está en la lista de permitidos.
- Un origen bloqueado suele verse como que el asistente simplemente no aparece, con un mensaje en la consola que dice que el origen no está permitido. Añade el dominio exacto y recarga.
- Si una clave puede haberse filtrado, renuévala en la pestaña Keys y actualiza todas las integraciones.
Documentación relacionada
- Configurar los orígenes permitidos
- Generar una clave de API del asistente
- Integrar un asistente en una web