API-ключи и аутентификация

AskAIs Customer Service предоставляет два вида учётных данных:

• API-ключи — чтобы ваш бэкенд вызывал REST API от имени рабочего пространства
• Секретные ключи входящих — для подписи полезной нагрузки идентификации посетителей

API-ключи

Создавайте в разделе Настройки → API Keys. Ключ показывается один раз. Передавайте его как bearer-токен:

curl https://cs.askais.com/api/v1/conversations \
  -H "Authorization: Bearer sk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxx"

Отзывайте в любой момент — хранится хеш ключа, а не открытый текст.

Подпись идентификации посетителей

Для авторизованных пользователей подписывайте полезную нагрузку идентификации на стороне сервера, чтобы злонамеренный посетитель не мог выдать себя за других пользователей:

// Node.js example
import { createHmac } from "node:crypto";

const payload = JSON.stringify({
  externalId: user.id,
  email: user.email,
  ts: Date.now(),
});

const signature = createHmac("sha256", INBOX_SECRET_KEY)
  .update(payload)
  .digest("hex");

res.json({ payload, signature });

Затем в браузере передайте оба значения в SingChat.identify():

SingChat.identify(JSON.parse(payload), signature);

Ротация ключей

Ротация секретного ключа входящих немедленно делает старые подписи недействительными. Запланируйте окно развёртывания; после ротации клиенты переходят на анонимный чат, пока ваш бэкенд не начнёт отправлять новые подписанные полезные нагрузки.

Ограничения частоты

• Публичный API-ключ: 60 запросов в минуту на ключ (всплеск 120)
• Идентификация виджета: 10 на посетителя в минуту
• Отправка сообщений: 30 на разговор в минуту