Безопасность каналов

Пароли и токены в настройках

• Поля каналов с паролями, секретами и токенами (токен бота, пароли IMAP и SMTP и другие) приходят в интерфейс замаскированными — «••••••••». Владелец и администраторы видят маску, обычные операторы не получают эти поля вовсе.
• Если сохранить канал с маской или пустым полем, сохранённое значение не меняется. Чтобы сменить пароль или токен, введите новый.

Проверка входящих вебхуков

• Telegram: при подключении бота SupportHub сам создаёт случайный секрет и передаёт его Telegram. Telegram присылает его в заголовке X-Telegram-Bot-Api-Secret-Token; запросы без верного секрета игнорируются. Настраивать ничего не нужно.
• VK: в канале задаются «Строка подтверждения» из настроек Callback API сообщества и «Секретный ключ» — произвольная строка, которую нужно указать и в VK. Если ключ задан, запросы с другим ключом игнорируются, поэтому не оставляйте его пустым.
• BillManager: модуль и API-подключение используют свои ключи — см. интеграцию BillManager.

Виджет

• «Разрешённые домены» в конструкторе виджета (раздел «Приватность») — по одному домену в строке, без http(s):// и порта; *.example.com разрешает поддомены. Если список заполнен, сообщения с других сайтов отклоняются. Пустой список — виджет работает на любом сайте.
• Чтобы посетитель не мог выдать себя за другого клиента, передавайте в виджет подписанный токен посетителя — см. HMAC visitor token.
• Частота запросов ограничена для каждого посетителя: отправка сообщений — 10 в минуту, загрузка файлов и идентификация — по 20, ответы в обращении — 30.

Исходящие запросы

• Вебхуки уведомлений подписываются HMAC-SHA256 в заголовке X-SupportHub-Signature — см. систему уведомлений. У вебхуков API своя подпись — см. Webhooks.
• Запросы к Telegram, VK, почте и BillManager можно пустить через прокси.