JSON-Web-Tokens (JWTs) verhindern, dass Dritte Ihre angemeldeten users imitieren und deren Gespräche einsehen. Wir empfehlen allen Fin-Kunden dringend, die JWT-Authentifizierung durchzusetzen.
Wenn Sie den Fin Messenger auf Ihrer Website für angemeldete users installiert haben, ist es unerlässlich, ihn zu sichern und zu verhindern, dass böswillige Akteure Ihre users imitieren oder unautorisierte Daten senden.
Bei einem nicht gesicherten Messenger könnte jemand mit Ihrem Fin Messenger interagieren und die Identität eines anderen users vortäuschen, indem er eine bekannte Kennung wie deren E-Mail-Adresse oder user_id angibt. Dies ermöglicht einem Angreifer, sich gegenüber Ihren Teammitgliedern als echter user auszugeben, wodurch Zugriff auf frühere Gespräche und potenziell sensible Daten entsteht.
Was ist ein JSON-Web-Token (JWT)?
Ein JWT ist ein branchenüblicher Standard zur Signierung von Daten. Es besteht typischerweise aus drei Teilen, getrennt durch Punkte. Ein typisches JWT sieht so aus: header.payload.signature.
Der Header gibt den Token-Typ (JWT) und den Signaturalgorithmus (z. B. HS256) an.
Die Payload enthält Angaben über den user oder die session (z. B. user_id, email).
Schließlich stellt die Signatur sicher, dass der Token nicht manipuliert wurde, indem ein geheimer oder privater Schlüssel verwendet wird.
Was sind die Vorteile der Sicherung des Messengers mit JSON-Web-Tokens (JWTs)?
Sichere Benutzeridentität: Die Sicherung Ihres Messengers ermöglicht es Ihren Teammitgliedern, sicher zu sein, dass der user, mit dem sie sprechen, wirklich dieser user ist.
Erhöhte Sicherheit der Benutzerdaten: Die Sicherung Ihres Messengers ermöglicht die sichere Übertragung von Datenattributen über die Messenger API.
Reduziertes Risiko durch gestohlene sessions: Die Sicherung Ihres Messengers mit JWTs ermöglicht es Ihnen, eine Ablaufzeit für den Token festzulegen, wodurch das Risiko von Datenverletzungen, die durch gestohlene Tokens im Browser des users entstehen könnten, erheblich reduziert wird. Durch die Festlegung einer kurzen Ablaufzeit wird das Risiko verringert.
Sicherere Fin- und AI-Workflows: Übergeben Sie Ihre komplexen Prozesse, Actions und Workflows an Fin, selbst wenn sie vertrauenswürdige Benutzerinformationen erfordern.
Durch die sichere Übertragung von Benutzeridentität und Daten sowie die Durchsetzung der Token-Ablaufzeit stellen JWTs sicher, dass Ihr Fin Messenger so sicher wie möglich ist.
Tipp: Die Aktivierung der Messenger-Sicherheit mit JWTs stellt auch die vollständige Gesprächshistorie Ihrer Kunden im Fin Messenger wieder her. Ohne JWTs können angemeldete Kunden nur ihre eigene Gesprächshistorie der letzten 14 Tage sehen. Dieses Limit wurde im April 2026 als Sicherheitsmaßnahme eingeführt. Sobald JWTs auf einer Plattform aktiv sind, wird das 14-Tage-Limit für diese Plattform aufgehoben. Gespräche, die älter als 14 Tage sind, werden im Messenger für Kunden ausgeblendet, nicht gelöscht.
Kundenerfahrung
Bei der Verwendung von JWTs mit dem Fin Messenger gestaltet sich die Erfahrung wie folgt:
Ihre Messenger-Integration startet Ihren angemeldeten user mit einer
Intercom('boot')-Anfrage, die ein JWT enthält, das alle Benutzerdaten umfasst, die Sie an Ihren Workspace senden möchten. Die Signatur des JWT wird mit dem Messenger-Geheimschlüssel aus Ihren Einstellungen generiert.Anschließend stellt Ihr Workspace dem user ein Sitzungscookie im Browser bereit. Dieses Cookie hat eine Standarddauer von 7 Tagen. Das Cookie wird während seiner Lebensdauer zur Authentifizierung des users und zur Durchführung von Aktualisierungen verwendet.
Wenn die Sitzung abläuft und kein neues JWT gesendet wird, endet die Sitzung des users. Der user sieht dann einen frischen Messenger als ausgeloggter Website-Besucher. Dieser enthält nicht die Gesprächshistorie.
Sobald der Messenger mit
Intercom('boot')und einem gültigen JWT neu gestartet wird, identifiziert der Messenger den user und zeigt diesem seine historischen Gespräche sowie eine neue Sitzung an. Zusätzlich werden alle ausgeloggten Aktivitäten, die auf demselben Gerät stattgefunden haben, in das Konto des authentifizierten users zusammengeführt.
Tipps:
Wenn Sie möchten, dass die Lebensdauer des Sitzungscookies des users kürzer als die standardmäßigen 7 Tage ist, können Sie die TTL des Cookies in Millisekunden mit dem session_duration Messenger-Attribut angeben.
Wenn Sie Zendesk tickets aus dem Fin Messenger erstellen und tickets an eine bestimmte Organisation weiterleiten möchten, können Sie ein Firmenfeld im JWT einschließen. Der
id-Wert sollte mit der externen ID der Zendesk-Organisation übereinstimmen (nicht mit der internen Zendesk-ID).
Hinweis: Fin synchronisiert Teamantworten in Fin für Webgespräche, die übergeben werden. Dies gilt jedoch nicht für Salesforce-Fälle – sobald ein Fall einem Live-Agenten in Salesforce zugewiesen wird, zieht Fin keine Updates mehr.
Installation: JWTs generieren und senden
Schritt 1: Installieren Sie den Messenger in Ihrer Anwendung
Die einzigartigen Einrichtungshinweise für Ihren Workspace finden Sie unter Einstellungen > Fin Messenger > Sicherheit.
Der Hauptunterschied zwischen einer unsicheren Messenger-Konfiguration und einer sicheren besteht darin, dass Sie ein zusätzliches intercomUserJwt-Feld in Ihren Benutzeranfragen einfügen, das zur Identifizierung und Aktualisierung des users verwendet wird.
Sie sehen eine Option, Datenattribute in Ihr Javascript-Snippet einzufügen. Dies steuert, welche Daten Sie an Ihren Fin Workspace senden möchten. Da Sie JWTs zur Datenübertragung verwenden, sollten Sie hier nur Attribute einschließen, die Sie nicht signieren möchten, z. B. wenn Sie einige front-end-spezifische Daten senden wollen.
Wenn Sie keine Daten außerhalb des JWT senden möchten, können Sie alle Daten aus Ihrem Snippet entfernen, außer api_base und app_id. Ihre app_id ist der eindeutige Bezeichner für Ihren Fin Workspace.
Für Besucher ohne benutzerspezifische Kennungen (wie user_id oder email) konfigurieren Sie ein ausgeloggtes Messenger-Snippet, indem Sie nur die App-ID in Ihrer Einrichtung einschließen. Vermeiden Sie das Hinzufügen von Benutzerattributen, um eine leichte, sichere Konfiguration für anonyme Besucher zu gewährleisten.
Schritt 2: Beginnen Sie mit der Generierung von JWTs für Ihre users
Sie können branchenübliche JWT-Bibliotheken verwenden, um den Token zu generieren, wobei der Messenger API Secret als geheimer Schlüssel dient. Ihren geheimen Schlüssel können Sie unter Einstellungen > Sicherheit > Messenger generieren.
Hinweis: JWT-Tokens müssen für jede user session eindeutig mit einer beliebigen Standard-JWT-Bibliothek generiert werden. Tokens müssen identifizierende Angaben wie user_id enthalten und mit dem Messenger API Secret signiert sein, um sicherzustellen, dass sie sicher mit dem richtigen user verknüpft sind.
Wählen Sie Ihre Backend- und Frontend-Frameworks, um relevante Codebeispiele für Ihre Installation zu erhalten.
Hier ist ein Beispiel für Node.js:
Wenn Sie zusätzliche Attribute über Ihre users senden möchten (z. B. price_plan oder number_of_songs_added), fügen Sie diese ebenfalls in Ihr JWT ein. user_id ist das einzige erforderliche Feld. Achten Sie darauf, dass die Feldnamen innerhalb der JWT-Payload und der Attribute case-sensitiv sind. Zum Beispiel muss "user_id" mit einem kleinen "i" geschrieben werden, nicht "user_Id", da falsche Groß-/Kleinschreibung die korrekte Benutzeridentifikation stören kann.
Hinweis: Bei Verwendung des von Fin generierten JWK zur Signierung von JWT-Tokens ist der sub-Anspruch standardmäßig die von Fin zugewiesene User-ID und dient als eindeutiger Benutzeridentifikator. Dies bietet einen konsistenten und sicheren Mechanismus zur Benutzeridentifikation. Beim Einsatz des JWK-Mechanismus ist der sub-Wert fest und kann nicht angepasst werden, was die Kompatibilität sicherstellt und Fehlkonfigurationen verhindert.
Schritt 3: Fügen Sie JWTs Ihrem Messenger-Snippet hinzu
Beim Starten des Messengers für einen angemeldeten user können Sie ein signiertes JSON-Web-Token bereitstellen und es dem intercom_user_jwt-Attribut der Messenger-Payload zuweisen. Alternativ können Sie auch Intercom.setUserJwt(jwt) verwenden, bevor Sie einen user anmelden, um den JWT-Token für eine sichere Datenzuordnung zuzuweisen.
Beispiel für eine Client-seitige Konfiguration
window.Intercom("boot", {
api_base: "https://api-iam.intercom.io",
app_id: "APP_ID_CODE",
intercom_user_jwt: <YOUR_USER_JWT_TOKEN>,
};
Dieses JWT kann beliebige Benutzerdatenattribute enthalten, die Sie sicher für den user senden möchten. Sobald ein gültiges JWT für den user empfangen wird, wird im Browser des users ein Sitzungscookie mit einer Standarddauer von 7 Tagen erstellt.
Um die TTL des Messenger-Sitzungscookies zu steuern, können Sie unter dem Dropdown-Menü "Halten Sie Ihren Messenger sicher" in Einstellungen > Fin Messenger > Allgemein ein Maximum festlegen.
Schritt 4: Stellen Sie sicher, dass Aktualisierungen für Ihre Attribute deaktiviert sind
Es ist möglich, unsichere Aktualisierungen für Datenattribute der Messenger API zu aktivieren, was bedeutet, dass jede Aktualisierung über den Messenger zur Aktualisierung dieses Attributs erfolgreich ist.
Wenn Sie einige Daten sicher in Ihrem JWT senden, sollten Sie sicherstellen, dass Sie unsichere Messenger-Aktualisierungen für diese Attribute deaktivieren, sodass sie nur über ein gültiges JWT aktualisiert werden. Hinweis: Dieser Schalter verhindert nicht, dass Sie Daten direkt von leads mit einem Bot sammeln.
Wir empfehlen, diesen Schalter für alle Attribute zu aktivieren, die Sie in Ihrem JWT senden.
Schritt 5: Benutzersitzungen beim Logout beenden
Sie können den Fin Messenger auf jeder öffentlich zugänglichen Website installieren, die Sie besitzen (Ihre Marketingseite, Ihre Dokumentationsseite, Ihr Entwickler-Hub usw.). Um die Kontinuität der Gespräche über all diese potenziell unterschiedlichen Subdomains hinweg während der Anmeldung Ihrer users zu gewährleisten, setzen wir einen Cookie im Browser Ihres users. Dieser Cookie läuft nach einer Woche ab.
Jeder user, der einen gemeinsam genutzten Computer und Browser mit jemand anderem verwendet, kann die zuletzt angemeldete Unterhaltungshistorie sehen, bis der Cookie abläuft. Deshalb ist es sehr wichtig, den Fin Messenger ordnungsgemäß zu beenden, wenn die Sitzung eines users in Ihrer App endet (manuell oder automatisch ausgeloggt).
So beenden Sie den Fin Messenger:
Sie haben bereits begonnen, Ihren user über das Intercom JS-Snippet oder die „boot“-Methode zu verfolgen.
Wenn sich Ihr user vom Fin Messenger abmeldet (oder automatisch von Ihrer App abgemeldet wird), rufen Sie Intercom('shutdown'); aus unserer JavaScript API auf, um die Sitzung zu beenden und den Cookie zu löschen.
Letzter Schritt: Erzwingen Sie die Messenger-Sicherheit für Ihren Workspace
Wenn Ihre Integration JWTs für Ihre users korrekt sendet, sollten Sie die Messenger-Sicherheit aktivieren, indem Sie sie unter Einstellungen > Fin Messenger > Sicherheit einschalten. Dadurch verlangt der Fin Messenger, dass Anfragen für Ihre Workspace-users entweder mit einem gültigen JWT oder einem gültigen user_hash gesichert sind.
Hinweis: JWT-Authentifizierung wird sowohl für Web als auch Mobile unterstützt. Das Mobile SDK ist bereit und voll funktionsfähig auf der Bring Your Own Channel-Architektur – die Einrichtungsschritte in diesem Artikel gelten für Web- und Mobile-Implementierungen.
Fehlerbehebungshinweise
Wir haben zwei Tools, die Ihnen bei der Fehlerbehebung Ihrer Installation helfen: eine Möglichkeit, aktuelle Fehlerprotokolle einzusehen, und einen Token-Debugger.
Überprüfen Sie Ihre Installationsprotokolle
Unter Schritt 6 in Einstellungen > Fin Messenger > Sicherheit sehen Sie Ihre Installationsprotokolle. Diese zeigen alle Fehlerprotokolle im Zusammenhang mit Ihrer JWT-Installation. Hier sehen Sie Fehler, die darauf hinweisen, ob Ihre JWTs ungültig, abgelaufen usw. sind. Klicken Sie auf "Protokoll anzeigen", um ein vollständiges Protokoll mit Anfrage-ID, Zeitstempel, Referer und Benutzerdaten zu sehen. Dies kann Ihnen helfen zu verstehen, warum Ihre Anfrage fehlgeschlagen ist, und es zurück zu Ihrer eigenen App zu verfolgen.
Häufige Fehlermeldungen
HTTP 400 - "user_hash und intercom_user_jwt können nicht gleichzeitig bereitgestellt werden": Die Anfrage enthielt sowohl ein JWT als auch einen user_hash. Kunden sollten entweder einen dieser Werte angeben, aber nicht beide.HTTP 400 - „Fehlende user_id im Payload“: Alle JWTs müssen user_id als Teil des Payloads enthalten. Wenn ein Kunde „email“ als primären Bezeichner verwendet, sollte er den E-Mail-Wert sowohl in user_id als auch in das E-Mail-Feld im Payload einfügen.HTTP 400 - „Ungültiger intercom_user_jwt Payload“: Der JWT-Payload ist ungültig. Kunden sollten sicherstellen, dass der Payload gut geformt, kodiert und mit einem SHA256 HMAC unter Verwendung des api_secret als Signaturgeheimnis signiert ist.HTTP 400 - „Intercom_user_jwt abgelaufen“: Das JWT ‘exp’ ist ein Zeitstempel in der Vergangenheit. Kunden sollten ein Ablaufdatum in der Zukunft angeben.HTTP 400 - „JWT-Identitätsabweichung": Die im JWT angegebene Benutzer-ID stimmt nicht mit dem Benutzer überein, der mit dem aktiven intercom-Sitzungscookie verknüpft ist. Dies deutet darauf hin, dass versucht wird, zwei konkurrierende Sitzungen zu starten. Stellen Sie sicher, dass Sie Intercom('shutdown') aufrufen, bevor Sie versuchen, einen neuen user zu booten.HTTP 400 - "Ungültiger intercom_user_jwt": Stellen Sie sicher, dass Sie einen gültigen user korrekt booten.Wenn die JWT-Token-Überprüfung fehlschlägt (z. B. wegen einer Abweichung in den Ansprüchen oder unsachgemäßer Signierung), wird das Gespräch automatisch geschlossen und ein Fehler in den API-Fehlerprotokollen protokolliert, um bei der Fehlerbehebung zu helfen.
JWT-Decoder
Unser Decoder-Tool bietet Ihnen auch eine Möglichkeit, ein JSON-Web-Token zu überprüfen. Sie finden es in der Seitenleiste unter Einstellungen > Messenger > Sicherheit.
Im Tool können Sie eines Ihrer generierten user JWTs auf Gültigkeit prüfen. Wählen Sie den relevanten geheimen Schlüssel, den Sie zur Generierung des JWT verwendet haben, und klicken Sie auf Decode.
Nach dem Decodieren sehen Sie die Benutzerdetails aus dem Payload Ihres JWT, den Header und eine Notiz, ob es gültig oder ungültig ist.
In diesem Beispiel haben wir sowohl ein ungültiges Geheimnis verwendet als auch das user_id-Feld nicht eingeschlossen, was beide zu einem Fehler führen.
Warum erhalte ich einen 403 Forbidden-Fehler, wenn ich einen angemeldeten user mit einem gültigen JWT booten möchte?
Ein 403 "Forbidden request"-Fehler beim Booten eines angemeldeten users mit einem gültigen JWT tritt auf, wenn die Messenger API für Web in Ihrem Workspace deaktiviert ist. Während sie deaktiviert ist, lädt der Fin Messenger weiterhin für anonyme Besucher, lehnt jedoch jeden angemeldeten user ab, selbst wenn das JWT gültig ist und seine user_id mit der external_id des Kontakts übereinstimmt.
Um den 403-Fehler zu beheben, gehen Sie zu Einstellungen > Channels > Messenger > Installieren und aktivieren Sie die Messenger API für Web (angezeigt als "Enable the Messenger API"). Starten Sie dann den Fin Messenger erneut mit Ihrem JWT.
FAQs
Warum ist user_id im JWT erforderlich?
Sie müssen jetzt user_id als primären Bezeichner für users angeben. Historisch haben wir entweder user_id oder email als mögliche Bezeichner unterstützt, was jedoch zu erheblicher Produktverwirrung bei der grundlegenden Identitätsprüfung geführt hat. Wenn Sie nur eine E-Mail zur Identifizierung Ihrer users haben, können Sie die E-Mail-Adresse sowohl im user_id- als auch im email-Attribut des Payloads angeben.
Wie richte ich das für nicht angemeldete users ein, bei denen ich keine user_id habe?
Die Messenger-Sicherheitsfunktion erfordert, dass Ihre users eindeutige user IDs haben, die Sie bereitstellen. Wenn Sie den Messenger nur für leads verwenden, können Sie diese nicht so identifizieren. Wenn Sie jedoch users mit user_ids in Ihrem Workspace aus einer anderen Integration (REST API, CSV usw.) haben, sollten Sie die JWT Messenger-Sicherheit trotzdem aktivieren, um zu verhindern, dass jemand versucht, den Messenger für diese users zu booten. Für ausgeloggte Besucher können Sie den Messenger so konfigurieren, dass er ohne Authentifizierung mit einer leichtgewichtigen Version funktioniert. Laden Sie einfach das Messenger-Skript nur mit der App-ID und ohne Übergabe von Benutzerdaten oder JWT-Tokens. Dies gewährleistet Benutzerfreundlichkeit bei gleichzeitiger Systemfunktionalität und Datenintegrität.
Kurz gesagt, wenn Sie irgendwelche users in Ihrem Workspace haben, die erratbare Bezeichner (E-Mail, user_id) besitzen, sollten Sie die Messenger-Sicherheit aktivieren. Wenn Sie sowohl angemeldete als auch ausgeloggte users unterstützen, verwenden Sie eine gemischte Strategie für Sicherheit und Benutzerfreundlichkeit. Verwenden Sie JWT-Authentifizierung für angemeldete Benutzersitzungen, um sensible Informationen zu schützen, während ausgeloggte Besucher eine vereinfachte Messenger-Konfiguration ohne benutzerspezifische Tokens oder Daten nutzen können.
Was sollte ich als Ablaufzeit einstellen?
Sie sollten jedes Mal ein neues JWT senden, wenn der Messenger gestartet wird, sodass die Lebensdauer des Tokens nur die Zeit zwischen den Messenger-Starts abdecken muss. Wählen Sie die minimale Dauer, die für das Verhalten Ihrer Anwendung geeignet ist. Wenn die Webseite häufig neu geladen wird, sollte das JWT kurzlebig sein, wir empfehlen jedoch mindestens 5 Minuten, um unerwartete Ablaufprobleme zu vermeiden. Fügen Sie immer eine Ablaufzeit (exp) in Ihren JWTs hinzu, um die Sicherheit zu erhöhen und die Auswirkungen gestohlener Tokens zu reduzieren.
Welche Signaturalgorithmen kann ich verwenden?
Wir unterstützen:
HS256 (HMAC mit SHA-256). Dieser Algorithmus verwendet einen gemeinsamen geheimen Schlüssel zum Signieren und Verifizieren des Tokens, um sicherzustellen, dass die Daten im Token nicht manipuliert wurden.
RS256 für JWTs, das ein asymmetrisches Schlüsselpaar verwendet – privat zum Signieren und öffentlich zum Verifizieren, als Alternative für erhöhte Sicherheit.
JSON Web Key (JWK)-Konfigurationen, die eine nahtlose Integration mit Fin-generierten Schlüsseln für eine vereinfachte Tokenverwaltung ermöglichen.
Kann ich sowohl user_hash als auch intercom_user_jwt senden?
Nein, wir unterstützen nicht das gleichzeitige Senden von user_hash und intercom_user_jwt, da der `user_hash` durch JWTs ersetzt werden sollte. Sie können jedoch zwischen dem Senden von user_hashes und/oder intercom_user_jwt-Werten wechseln, da einige Kunden dies während der Migration von user_hash zu intercom_user_jwt benötigen.
Wie kann ich überprüfen, ob meine JWTs gültig sind und alles funktioniert?
Siehe Fehlerbehebung Abschnitt oben.
Wie erzwinge ich die Anforderung von JWTs für meinen Workspace?
Sie sollten den Erzwingungs-Schalter in Ihren Messenger-Einstellungen aktivieren.
Welche Attribute sollte ich schützen?
Alle identifizierenden Attribute sollten als geschützt markiert und wenn möglich sicher im JWT gesendet werden. Dazu gehören E-Mail, Telefon und alle account_ids, die der Kunde im User-Datensatz speichern könnte. Sie finden Ihre Attribute unter Einstellungen > People Data.
Jedes Attribut, das Fin in einem kritischen Teil einer Aktion oder eines Workflows verwenden soll, muss geschützt sein, um sicherzustellen, dass ein böswilliger Benutzer diesen Wert nicht überschreiben kann.
Wenn Sie Daten außerhalb des JWT senden möchten, können Sie das tun, solange Sie Messenger-Updates erlaubt haben, aber bedenken Sie, dass ein Benutzer dieses Feld selbst aktualisieren könnte.
window.intercomSettings = {
app_id: <APP_ID_CODE>,
intercom_user_jwt: <TOKEN>,
unsigned_data_attribute: 'data'
};
Was passiert, wenn die Sitzung mitten in einer Benutzeraktion abläuft?
Wenn nach Ablauf des Cookies eine Aktivität eines Benutzers im Messenger erfolgt, wird ein neues, kurzlebiges Cookie von 1 Stunde ausgegeben, um negative Auswirkungen auf die Benutzererfahrung zu vermeiden. Um unbeabsichtigte Effekte auf die Benutzererfahrung zu verhindern, empfehlen wir, eine Sitzungsdauer des Cookies zu wählen, die mit dem Timeout der Anwendungssitzung übereinstimmt.
Warum verlangen wir nicht, dass die gesamte Nutzlast signiert wird?
Wir erlauben es Ihnen, un-signierte Attribute zu senden, um Situationen zu unterstützen, in denen Sie niedrigauflösende Daten über den User senden müssen, während der User in Ihrer Anwendung eine Aktion ausführt. Wenn Sie diese Fähigkeit nicht benötigen, können Sie alle Ihre User Data Attributes auf „geschützt vor Messenger-Updates“ setzen und nur die signierte Nutzlast senden.
Wie verwalte und rotiere ich meine Messenger-Geheimschlüssel?
Ihr Geheimschlüssel kann in den Messenger-Sicherheitseinstellungen Ihres Workspaces generiert werden.
Sie können Ihre vorhandenen Schlüssel in der rechten Seitenleiste der JWT-Einrichtungsseite finden und kopieren.
Sie können Schlüssel unter Einstellungen > Sicherheit > Messenger rotieren.
Wenn Sie mehr als eine Salesforce-Umgebung verbunden haben, können Sie bei der Erstellung eines Schlüssels in Einstellungen > Sicherheit > Messenger einen Schlüssel einer Umgebung zuweisen. Ein Schlüssel, der einer Umgebung zugewiesen ist, verifiziert nur Benutzer bei Messenger-Anfragen aus dieser Umgebung. Lassen Sie es auf Alle Umgebungen, um das aktuelle Verhalten beizubehalten. Bestehende Schlüssel bleiben unzugeordnet und funktionieren in jeder Umgebung. Die Umgebung eines Schlüssels ist bei der Erstellung festgelegt: Um einen Schlüssel in eine andere Umgebung zu verschieben, erstellen Sie einen neuen Schlüssel und widerrufen den alten. Um bei der Erstellung eines Schlüssels über die REST API eine Umgebung zuzuweisen, übergeben Sie environment_id in der Preview API-Version. Siehe Identity Verification Secrets in den Entwicklerdokumenten.
Was ist mit Identity Verification passiert? Ersetzen JWTs das?
Identity Verification ist die vorherige Version der Messenger-Sicherheit, die HMAC-Benutzer-Hashes verwendet, um zu identifizieren, dass eine Benutzeranfrage von Ihrer Integration gesendet wurde.
Während user_hashes weiterhin akzeptiert werden, empfehlen wir allen Kunden dringend, auf JWTs umzusteigen, da diese mehr Sicherheitsvorteile bieten und Identity Verification keine zukünftigen Updates mehr erhält.
Wenn Sie Ihre Identity Verification-Installation von den JWT-Seiten aus verwalten müssen, können Sie das weiterhin tun. Die Anweisungen wurden aktualisiert, um die JWT-Einrichtung widerzuspiegeln, und wenn Sie Änderungen vornehmen, empfehlen wir dringend den Umstieg auf JWTs. Wenn Sie die Funktion deaktivieren oder Ihre Messenger API-Geheimschlüssel rotieren müssen, können Sie dies weiterhin unter Einstellungen > Sicherheit > Messenger tun.
Kann ich Firmendaten in meinem JWT einfügen, um Benutzer mit einem Unternehmen zu verknüpfen?
Ja. Fügen Sie company_id und andere Unternehmensattribute in Ihre JWT-Nutzlast ein, um Benutzer mit einem Unternehmen zu verknüpfen. Dies erstellt und verknüpft das Unternehmen automatisch beim Start ohne zusätzliche Verzögerung.
Wichtig: Firmendaten, die außerhalb des JWT übermittelt werden (zum Beispiel als company-Objekt in Ihrem Intercom('boot')-Aufruf), werden ignoriert, wenn ein JWT vorhanden ist. Das Unternehmen wird nicht aktualisiert und der last_seen-Wert des Unternehmens wird nicht aktualisiert. Um sicherzustellen, dass Firmendaten korrekt aktualisiert werden, fügen Sie diese in Ihre JWT-Nutzlast ein.