Claves de API y autenticación

AskAIs Customer Service expone dos tipos de credenciales:

• Claves de API — para que tu backend llame a la API REST como el espacio de trabajo
• Claves secretas de la bandeja de entrada — para firmar las cargas útiles de identificación de visitantes

Claves de API

Genéralas en Configuración → API Keys. La clave se muestra una sola vez. Pásala como un token bearer:

curl https://cs.askais.com/api/v1/conversations \
  -H "Authorization: Bearer sk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxx"

Revócala en cualquier momento — se almacena el hash de la clave, no el texto plano.

Firmar la identificación de visitantes

Para los usuarios con sesión iniciada, firma la carga útil de identificación en el servidor para que un visitante malicioso no pueda suplantar a otros usuarios:

// Node.js example
import { createHmac } from "node:crypto";

const payload = JSON.stringify({
  externalId: user.id,
  email: user.email,
  ts: Date.now(),
});

const signature = createHmac("sha256", INBOX_SECRET_KEY)
  .update(payload)
  .digest("hex");

res.json({ payload, signature });

Luego, en el navegador, pasa ambos a SingChat.identify():

SingChat.identify(JSON.parse(payload), signature);

Rotación de claves

Rotar una clave secreta de la bandeja de entrada invalida de inmediato las firmas antiguas. Planifica una ventana de despliegue; tras la rotación, los clientes recurren al chat anónimo hasta que tu backend envíe nuevas cargas útiles firmadas.

Límites de frecuencia

• Clave de API pública: 60 solicitudes/min por clave (ráfaga 120)
• Identificación del widget: 10 por visitante por minuto
• Envío de mensajes: 30 por conversación por minuto