Clés API et authentification

AskAIs Customer Service expose deux types d'identifiants :

• Clés API— pour que votre backend appelle l'API REST en tant qu'espace de travail
• Clés secrètes de boîte de réception— pour signer les charges utiles d'identification des visiteurs

Clés API

Générez-les dans Paramètres → API Keys. La clé n'est affichée qu'une seule fois. Transmettez-la en tant que jeton bearer :

curl https://cs.askais.com/api/v1/conversations \
  -H "Authorization: Bearer sk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxx"

Révoquez-la à tout moment — c'est le hachage de la clé qui est stocké, pas le texte en clair.

Signature de l'identification des visiteurs

Pour les utilisateurs connectés, signez la charge utile d'identification côté serveur afin qu'un visiteur malveillant ne puisse pas usurper l'identité d'autres utilisateurs :

// Node.js example
import { createHmac } from "node:crypto";

const payload = JSON.stringify({
  externalId: user.id,
  email: user.email,
  ts: Date.now(),
});

const signature = createHmac("sha256", INBOX_SECRET_KEY)
  .update(payload)
  .digest("hex");

res.json({ payload, signature });

Ensuite, dans le navigateur, transmettez les deux à SingChat.identify() :

SingChat.identify(JSON.parse(payload), signature);

Rotation des clés

La rotation d'une clé secrète de boîte de réception invalide immédiatement les anciennes signatures. Planifiez une fenêtre de déploiement ; après la rotation, les clients reviennent au chat anonyme jusqu'à ce que votre backend livre de nouvelles charges utiles signées.

Limites de débit

• Clé API publique : 60 requêtes/min par clé (rafale 120)
• Identification du widget : 10 par visiteur et par minute
• Envoi de messages : 30 par conversation et par minute