Impostazioni Security
La scheda Security decide chi può caricare l’assistente e come dimostra di esserne autorizzato. Ha due parti: una modalità di autenticazione e un elenco di origini consentite.
Modalità di autenticazione
Si imposta nella scheda Security come "Assistant authentication type?". Tre modalità:
| Modalità | Richiede | Quando usarla |
|---|---|---|
| None | Nulla | Centri di assistenza pubblici e siti web aperti: chiunque si trovi su un’origine consentita può caricare l’assistente. |
| API | Una chiave API | Siti privati senza autenticazione complessa: l’integrazione passa la chiave come accessToken. |
| OIDC | Issuer + audience | App con un provider di identità: l’integrazione passa il JWT del tuo provider come accessToken e Seekdown lo convalida. |
- None: l’assistente si avvia solo con un
assistantId. Ideale per assistenti pubblici in cui vuoi zero attriti. - API: l’integrazione deve passare una chiave dell’assistente come
accessToken. Generala nella scheda Keys. Ideale per siti di cui controlli il codice sorgente ma senza un provider di autenticazione. - OIDC: l’integrazione passa il JWT del tuo provider di identità come
accessToken; Seekdown lo convalida rispetto all’issuer e all’audience configurati. Ideale per esperienze con utenti autenticati quando hai già uno stack di autenticazione (Firebase, Auth0, Azure AD, ecc.).
Campi OIDC
Questi campi compaiono solo quando la modalità di autenticazione è OIDC:
| Campo | Cos’è | Esempio (Firebase) |
|---|---|---|
| Issuer | L’URL dell’emittente dei token del tuo provider. | https://securetoken.google.com/{your-project-id} |
| Audience | Il claim audience atteso nel JWT. | {your-project-id} |
Origini consentite
L’elenco Allowed origins autorizza i domini che possono integrare o chiamare l’assistente: un filtro in stile CORS.
- Predefinito:
*(qualsiasi origine). Comodo per i test, ma restringilo prima del lancio. - Formato: domini esatti come
example.comoapp.example.com, oppure*per tutti. - Effetto: un assistente si inizializza solo su un’origine presente in questo elenco. Se l’origine della pagina che lo integra manca, il widget non si carica.
- Aggiungi sia il dominio di staging sia quello di produzione se li usi entrambi.
- Per Shopify, includi il tuo dominio
.myshopify.come qualsiasi dominio personalizzato.
Restringi le origini prima del lancio
Sostituisci * con i tuoi domini reali prima di andare online. Un’origine jolly significa che chiunque può integrare il tuo assistente in qualsiasi sito.
Risoluzione dei problemi
- Se l’assistente non si carica su un sito, apri la console del browser e verifica che l’origine della pagina sia nell’elenco delle origini consentite.
- Un’origine bloccata di solito si manifesta con l’assistente che semplicemente non compare, e un messaggio nella console che dice che l’origine non è consentita. Aggiungi il dominio esatto e ricarica.
- Se una chiave potrebbe essere stata divulgata, rinnovala nella scheda Keys e aggiorna ogni integrazione.
Documenti correlati
- Configurare le origini consentite
- Generare una chiave API dell’assistente
- Integrare un assistente in un sito web