Sicherheit

Kontozugriff#

Verwenden Sie ein einzigartiges Passwort, schützen Sie das E-Mail-Konto, das Sie für die Wiederherstellung nutzen, beenden Sie Sitzungen, die Sie nicht kennen, und beschränken Sie den Zugriff auf Produktivwebsites.

Bestätigen Sie die E-Mail-Adresse Ihres Kontos über den Link, der nach der Registrierung versendet wird. Konten mit Passwort können auf der Anmeldeseite Passwort vergessen verwenden; nach einem erfolgreichen Zurücksetzen werden alle bestehenden Sitzungen beendet. In den Kontoeinstellungen können Sie ein lokales Passwort ändern, Google ausdrücklich verknüpfen (sofern aktiviert) und sich auf allen Geräten abmelden. OAuth-Konten ohne lokales Passwort haben kein Passwort, das geändert werden könnte, und bei einer normalen Anmeldung wird nie stillschweigend eine neue Identität verknüpft.

Secrets#

API-Schlüssel, Connector-Tokens, App-Secrets, Webhook-Secrets und Schlüssel von Sprachanbietern sind Zugangsdaten. Bewahren Sie sie in einem freigegebenen Secret-Manager auf, speichern Sie sie niemals im Client-Code und rotieren Sie sie nach einer Offenlegung.

Minimale Berechtigungen#

Wählen Sie eng gefasste API-Scopes, dedizierte Apps auf externen Plattformen, präzise Origins für Einbettungen und getrennte Schlüssel für getrennte Systeme. Entfernen Sie nicht genutzte Zugangsdaten und Integrationen.

Inhalte und Datenschutz#

Laden Sie nur Daten hoch, die der Agent verwenden darf. Testen Sie Ablehnungen und Eskalationspfade und wenden Sie Aufbewahrungsregeln auf Exporte von Gesprächen und Leads an.

Meldung von Schwachstellen#

Wenn Sie eine vermutete Sicherheitslücke melden, geben Sie die betroffene URL oder Komponente, die Auswirkungen und die Schritte zur Reproduktion an, ohne auf Daten anderer Nutzer zuzugreifen.