Bezpieczeństwo i dane

Integracja z Commerce API v1 przetwarza dane handlowe i dane kontaktowe klientów. Ta sekcja zbiera zasady, które chronią sekret klucza oraz dane osób, z którymi bot się kontaktuje.

Ochrona sekretu klucza

Sekret klucza pokazujemy tylko raz, przy jego utworzeniu. Traktuj go jak hasło produkcyjne.

• Przechowuj sekret wyłącznie po stronie serwera (menedżer sekretów, zmienne środowiskowe), nigdy w repozytorium, kodzie frontendu ani aplikacji klienckiej.
• Nie umieszczaj sekretu ani podpisu w adresie URL — wyłącznie w nagłówkach.
• Podpisuj requesty na backendzie; przeglądarka i aplikacja mobilna nie mają dostępu do sekretu.
• W dokumentacji i zrzutach ekranu key ID zawsze maskuj: cba_test_••••••••.
• Rotuj klucze okresowo i po każdym podejrzeniu wycieku — patrz rotacja z oknem nakładania w sekcji Uwierzytelnianie.

TLS i integralność transmisji

Cała komunikacja z API oraz dostarczanie webhooków odbywają się po TLS. Po stronie odbiorcy webhooka:

• akceptuj wyłącznie połączenia HTTPS,
• weryfikuj podpis każdego przychodzącego zdarzenia zanim je przetworzysz (szczegóły w sekcji Webhooki),
• odrzucaj zdarzenia ze znacznikiem czasu poza akceptowanym oknem, aby ograniczyć ryzyko replay.

Zasada najmniejszych uprawnień

Scopes działają w modelu deny-by-default. Nadawaj kluczowi tylko te zakresy, których faktycznie używa dana integracja, i rozdzielaj klucze według zadań (np. osobny klucz do synchronizacji katalogu, osobny do odczytu wyników).

• Klucz tylko do importu katalogu: catalog:write (bez orders:*).
• Klucz tylko do odbioru wyników: results:read.
• Usuwanie danych klienta wymaga osobnego, wąskiego scope customers:erase.

Pełna lista zakresów znajduje się w sekcji Uwierzytelnianie.

Dane osobowe i redakcja

• Minimalizacja — wysyłaj tylko te dane, które są potrzebne do rozmowy (np. numer telefonu w formacie E.164, imię do personalizacji). Nie przesyłaj danych wrażliwych, których bot nie potrzebuje.
• Redakcja w logach — nie loguj numerów telefonów, treści rozmów ani sekretu. Do diagnostyki wystarczy correlation_id z odpowiedzi błędu (patrz Błędy).
• Brak sekretów w URL — dane wrażliwe i uwierzytelniające trzymaj w body lub nagłówkach, nigdy w query stringu, który trafia do logów serwerów pośrednich.

Zgody i DNC są nadrzędne

Bot dzwoni wyłącznie zgodnie z obowiązującymi zgodami kontaktowymi. Status zgody oraz listy DNC (do-not-call) są nadrzędne wobec danych przesłanych przez API — przekazanie kontaktu (np. intencji ponownego zakupu / repurchase intent) nie uchyla braku zgody ani wpisu na liście DNC. Aktualizuj status zgody po swojej stronie i nie przekazuj do rozmów kontaktów, które wycofały zgodę.

Zgłaszanie podatności

Jeśli podejrzewasz lukę bezpieczeństwa lub wyciek klucza, natychmiast unieważnij klucz przez rotację i skontaktuj się ze wsparciem. W zgłoszeniu nie umieszczaj sekretu ani danych osobowych — podaj correlation_id, znacznik czasu i opis.