Bezpieczeństwo i licencje

Scalarcut jest zbudowany dla sklepów z prawdziwymi checkoutami, więc widżet jest ściśle ograniczony do Twoich domen i Twojego katalogu.

Klucze widżetu są powiązane z Twoimi originami

Twój klucz widżetu ładuje się tylko na originach, które zarejestrujesz na swoim koncie. Klucz skopiowany na inną domenę po prostu się nie renderuje — widżet nie może być osadzony na stronie, która do Ciebie nie należy, a wycieknięty klucz nie jest działającym embedem nigdzie indziej.

Gdy dodajesz sklep lub nową domenę, dodaj ją do listy originów na koncie. Żadnych zmian w kodzie.

Tokeny są ograniczone i rotowane

Widżet i API używają podpisanych tokenów, które niosą Twój id przedsiębiorstwa, id klucza widżetu i katalog, którego mogą dotykać. Tokeny wygasają po siedmiu dniach i są wydawane przez widżet przy ładowaniu, więc Twój serwer nigdy nie musi przechowywać długożyjących sekretów.

• Token embedu jest ograniczony do jednego przedsiębiorstwa i katalogu.
• Wywołania intencji koszyka i wyceny walidują token, zanim dotkną danych katalogu.
• Użycie jest rejestrowane per zdarzenie, więc każdą wycenę i każde dodanie do koszyka można przypisać do sklepu.

HTTPS wszędzie

Widżet, SDK i API są serwowane przez HTTPS, a URL-e obrazów katalogu są akceptowane tylko jako publiczny HTTPS. W produkcji strona nadrzędna musi być HTTPS, zgodnie z bezpieczną ramką widżetu.

Ochrona ramki

Odpowiedź widżetu ustawia frame-ancestors na Twoje zarejestrowane originy. Przeglądarki egzekwują to przez nagłówek Content-Security-Policy, więc tylko Twoje domeny mogą hostować iframe — żadna inna strona nie może osadzić planera, nawet z poprawnie wyglądającym URL-em.

Sprawdzanie originów wiadomości

SDK weryfikuje origin każdego postMessage przed działaniem, w obu kierunkach. Strona spoza Twoich zarejestrowanych originów nie może wysyłać poleceń do widżetu, a widżet nie dostarczy pozycji koszyka niezaufanemu odbiorcy.

Władza nad checkoutem zostaje u Ciebie

Bezpieczeństwo oznacza też, że widżet nie może nic zrobić z pieniędzmi. Nie przechowuje danych płatności, danych klientów ani sposobu na złożenie zamówienia. Rozwiązuje SKU i ilości; Twój sklep — z Twoją autoryzacją, stanem magazynowym i dostawcą płatności — to jedyne miejsce, w którym powstaje zamówienie.

Rotacja i cofanie

Klucze widżetu można rotować lub cofać z panelu w dowolnym momencie. Cofnięty klucz natychmiast przestaje serwować, a jego tokeny przestają być walidowane przy następnym żądaniu.