Kdo smí načíst váš chat widget a proč to má smysl omezit

Chat widget se nasazuje jedním řádkem JavaScriptu a v něm je vaše appId. Ten identifikátor není tajný, komukoli stačí otevřít zdroj vaší stránky a má ho. Nabízí se tedy otázka, co brání cizímu webu vzít ten samý řádek a provozovat vašeho chatbota u sebe.

Odpověď se jmenuje povolené domény. A stojí za to vědět, jak se chovají, protože jejich výchozí stav překvapí.

Prázdný seznam znamená otevřeno, ne zavřeno

Tohle je ta nejdůležitější věta celého článku. Když je seznam povolených domén prázdný, widget se načte kdekoli. Není to zámek, který čeká na odemknutí, je to zámek, který nikdo nezamkl.

Dává to smysl, protože jinak by nový widget nefungoval nikde, dokud by si někdo nevzpomněl, že má doplnit doménu. Cena za to pohodlí je, že dokud tam nic nenapíšete, nic nebrání komukoli jinému.

Proč to řešit, když vám cizí web nic neukradne? Kvůli kreditům a pořádku v datech. Každá odpověď bota se účtuje z vašeho měsíčního objemu, takže widget zkopírovaný na cizí web utrácí vaše peníze a plní vám historii konverzacemi, které nejsou vaše.

Nový bot se zamkne na doménu z registrace

U nově založených účtů se seznam předvyplní webem, který zadáte při registraci. Bot, kterého si dnes založíte, tedy startuje zamčený na váš web, ne otevřený.

Pokud máte účet starší, seznam vám nikdo zpětně nevyplnil. Stojí za to se do něj podívat.

Jak se domény porovnávají

Pravidla jsou schválně jednoduchá, aby se v nich nedalo splést:

• Subdomény se počítají samy. Když povolíte vasedomena.cz, projde i www.vasedomena.cz a eshop.vasedomena.cz. Nemusíte je vypisovat a nemusíte řešit www.
• Na cestě ani portu nezáleží. Můžete vložit celou adresu i s https:// a podstránkou, uloží se z toho jen hostname.
• Diakritika je v pořádku. Doménu s háčky si systém převede do punycode, tedy do tvaru, který posílá prohlížeč, takže se shoda najde.
• Velikost písmen nehraje roli.

Co naopak neprojde: požadavek, který o svém původu vůbec nic neřekne. Pokud je seznam vyplněný a v požadavku chybí hlavička s původem, widget se nenačte.

Co dostane cizí web

Odmítnutí je rychlé. Server vrátí 403 a odpověď se nikam neukládá do mezipaměti. Netýká se to jen načtení widgetu, stejná kontrola stojí i před připojením k chatu v reálném čase, před sběrem událostí návštěvníka a před proaktivními zprávami.

Berte to ale jako to, čím to je, tedy jako ochranu běžného nasazení, ne jako bezpečnostní hranici. Chat musí zůstat dostupný i úplně anonymnímu návštěvníkovi, takže samotné rozhraní chatu je záměrně veřejné a dá se vložit i mimo tuhle cestu. Povolené domény spolehlivě zabrání tomu, aby někomu fungoval snippet zkopírovaný z vašeho webu. Někoho, kdo se cíleně snaží, nezastaví.

Když widget zmizí, tohle bývá důvod

Zamčení na špatnou doménu se dřív projevovalo nepříjemně: widget se prostě neobjevil, v odpovědi bylo holé 403 a nikde nic. Žádný záznam, žádné upozornění. Z pohledu majitele webu to vypadalo jako porucha.

Dnes se každé takové odmítnutí zapíše do záznamů, včetně toho, z jaké adresy přišlo a proti jakému seznamu se porovnávalo. Zápis je omezený na jeden řádek na bota a adresu za hodinu, aby jeden špatně nasazený web nezaplavil celou tabulku. A dashboard vás upozorní, když má publikovaný bot seznam prázdný.

Když se vám tedy widget po přesunu webu na novou doménu nebo po přechodu na nové stagingové prostředí přestane objevovat, tohle je první místo, kam se podívat.

Kdy nechat prázdné a kdy ne

Prázdný seznam má své místo. Pokud widget teprve zkoušíte, chystáte se ho vložit na několik webů najednou nebo testujete na náhodných stagingových adresách, je omezení jen překážka.

Ve chvíli, kdy bot jede naostro a účtuje se vám za odpovědi, je to jinak. Doplňte doménu, subdomény se přidají samy, a máte hotovo. Pokud provozujete i staging, přidejte jeho doménu jako druhý řádek.

Jak to nastavíte

V dashboardu otevřete Integrace a v sekci widgetu najdete seznam povolených domén. Napište doménu, uložte a je to. Kontrola se uplatní okamžitě, takže si po uložení ověřte, že se vám widget na webu pořád zobrazuje.

Se vzhledem widgetu vám pomůže článek přizpůsobení chat widgetu, o nakládání s daty píšeme v článku chatboti a GDPR.

Časté dotazy

Je moje appId tajné? Není. Je vidět ve zdrojovém kódu stránky, stejně jako u kteréhokoli jiného widgetu. Právě proto se přístup neřeší utajením identifikátoru, ale seznamem domén.

Musím do seznamu psát i www? Ne. Povolením domény se automaticky povolí i všechny její subdomény, tedy včetně www.

Co se stane, když widget vloží někdo cizí? Pokud máte seznam vyplněný, načtení widgetu dostane 403 a na jeho webu se neobjeví. Pokud je prázdný, funguje mu a odpovědi se účtují vám. Je to ochrana proti zkopírovanému snippetu, ne proti cílenému zneužití.

Poznám, že mě někdo blokuje omylem? Ano. Odmítnutá načtení se zapisují do záznamů i s adresou, ze které přišla, takže se dá dohledat, na čem to vázne.

Povolené domény jsou pětiminutové nastavení, na které se přijde obvykle až ve chvíli, kdy něco nefunguje. Doplňte svoji doménu hned po nasazení a máte to z hlavy.

Související: Přizpůsobení chat widgetu · Chatboti a GDPR.