Protege tu asistente
La seguridad se construye con tres capas que funcionan juntas: el modo de autenticación, la lista de orígenes permitidos y, en el modo API, la clave de API. Cómo las combines depende de quién deba poder usar el asistente.
Qué es público
Cuando un asistente está integrado en una web, el snippet de integración (incluidos el assistantId, el accessToken (clave de API) y el serviceURL) está en el código HTML de la página. Cualquiera que pueda ver el código fuente de la página puede leer estos valores. No es un fallo; así funcionan las integraciones en el lado del cliente. La seguridad no viene de ocultar estos valores, sino de lo que hace el servidor cuando los recibe.
Escenarios de seguridad
Web pública: acceso abierto
Modo: None. Orígenes: tus dominios.
El asistente se carga en cualquier origen permitido sin clave. Es la configuración más sencilla y la adecuada para centros de ayuda públicos, páginas de producto y webs de marketing cuyo contenido ya es público. Limita los orígenes a tus dominios para evitar que alguien integre tu asistente en una web ajena.
Intranet o web privada: acceso con restricción ligera
Modo: API. Orígenes: tus dominios internos. Clave: generada.
La clave de API actúa como un identificador público: le dice al servidor qué asistente cargar, pero no es un secreto. Combinada con unos orígenes permitidos restringidos, evita la reutilización casual: el asistente solo se carga en tus dominios y solo con la clave correcta. Alguien que copie la clave seguirá sin poder usar el asistente desde un origen no autorizado.
Es suficiente para herramientas internas, entornos de staging y webs cuya audiencia está controlada pero en las que una autenticación formal sería excesiva.
Aplicación con autenticación: acceso por identidad
Modo: OIDC. Orígenes: tus dominios. Issuer + audience: tu proveedor.
La integración pasa un JWT de tu proveedor de identidad (Firebase, Auth0, Azure AD, Okta, etc.) como accessToken. Seekdown valida el token con el issuer y la audience configurados antes de permitir que el asistente responda. Solo pueden usarlo los usuarios que hayan iniciado sesión con tu sistema de autenticación.
Es la protección más fuerte y la opción adecuada para paneles con sesión iniciada, portales de clientes y cualquier escenario en el que el uso deba ir ligado a la identidad de un usuario.
Cómo se apilan las capas
| Capa | Qué controla | ¿Visible en el código fuente de la página? |
|---|---|---|
| Modo de autenticación | Si se requiere un token y cómo se valida. | El modo en sí es un ajuste del servidor: no se expone. |
| Orígenes permitidos | Qué dominios pueden integrar el asistente. | No: se aplica en el servidor. |
| Clave de API | Identifica el asistente en el modo API. | Sí: está en el snippet de integración. |
| Token OIDC | Demuestra la identidad del visitante en el modo OIDC. | El token es por sesión, de corta duración, y se valida en el servidor. |
La clave de API identifica qué asistente se carga. Los orígenes permitidos controlan dónde se puede cargar. El modo de autenticación controla quién puede usarlo. Juntos forman un modelo de seguridad práctico para cualquier escenario, desde totalmente abierto hasta totalmente autenticado.