Paramètres de sécurité
L’onglet Security détermine qui peut charger l’assistant et comment il prouve qu’il en a le droit. Il comporte deux parties : un mode d’authentification et une liste d’origines autorisées.
Mode d’authentification
Il se règle dans l’onglet Security, sous l’intitulé "Assistant authentication type?". Trois modes :
| Mode | Nécessite | Quand l’utiliser |
|---|---|---|
| None | Rien | Centres d’aide publics et sites ouverts : toute personne sur une origine autorisée peut charger l’assistant. |
| API | Une clé d’API | Sites privés sans authentification complexe : l’intégration transmet la clé en tant que accessToken. |
| OIDC | Émetteur + audience | Applications dotées d’un fournisseur d’identité : l’intégration transmet le JWT de votre fournisseur en tant que accessToken, et Seekdown le valide. |
- None : l’assistant démarre avec un simple
assistantId. Idéal pour les assistants publics, quand vous voulez zéro friction. - API : l’intégration doit transmettre une clé d’assistant en tant que
accessToken. Générez-la dans l’onglet Keys. Idéal pour les sites dont vous maîtrisez le code source mais sans fournisseur d’authentification. - OIDC : l’intégration transmet le JWT de votre fournisseur d’identité en tant que
accessToken; Seekdown le valide par rapport à l’issuer et à l’audience configurés. Idéal pour les expériences avec connexion, quand vous disposez déjà d’une infrastructure d’authentification (Firebase, Auth0, Azure AD, etc.).
Champs OIDC
Ces champs n’apparaissent que lorsque le mode d’authentification est OIDC :
| Champ | Description | Exemple (Firebase) |
|---|---|---|
| Issuer | L’URL de l’émetteur des jetons de votre fournisseur. | https://securetoken.google.com/{your-project-id} |
| Audience | La valeur d’audience attendue dans le JWT. | {your-project-id} |
Origines autorisées
La liste Allowed origins autorise explicitement les domaines qui peuvent intégrer ou appeler l’assistant : une barrière de type CORS.
- Par défaut :
*(n’importe quelle origine). Pratique pour les tests, mais restreignez-la avant le lancement. - Format : des domaines exacts comme
example.comouapp.example.com, ou*pour tous. - Effet : un assistant ne s’initialise que sur une origine figurant dans cette liste. Si l’origine de la page qui l’intègre est absente, le widget ne se charge pas.
- Ajoutez à la fois les domaines de préproduction et de production si vous utilisez les deux.
- Pour Shopify, incluez votre domaine
.myshopify.comet tout domaine personnalisé.
Restreignez les origines avant le lancement
Remplacez * par vos vrais domaines avant la mise en ligne. Une origine générique signifie que n’importe qui peut intégrer votre assistant sur n’importe quel site.
Dépannage
- Si l’assistant ne se charge pas sur un site, ouvrez la console du navigateur et vérifiez que l’origine de la page figure dans la liste autorisée.
- Une origine bloquée se traduit généralement par un assistant qui n’apparaît tout simplement pas, avec un message dans la console indiquant que l’origine n’est pas autorisée. Ajoutez le domaine exact et rechargez.
- Si une clé a pu fuiter, renouvelez-la dans l’onglet Keys et mettez à jour chaque intégration.
Documentation associée
- Configurer les origines autorisées
- Générer une clé d’API d’assistant
- Intégrer un assistant sur un site web