Sécurité

Accès au compte#

Utilisez un mot de passe unique, protégez la messagerie utilisée pour la récupération du compte, mettez fin aux sessions que vous ne reconnaissez pas et limitez l'accès aux sites de production.

Vérifiez l'adresse e-mail du compte à l'aide du lien envoyé après l'inscription. Les comptes avec mot de passe peuvent utiliser Mot de passe oublié sur la page de connexion ; une réinitialisation réussie révoque les sessions existantes. Les Paramètres du compte permettent de modifier un mot de passe local, de lier explicitement Google lorsque cette option est activée et de déconnecter tous les appareils. Les comptes OAuth uniquement n'ont pas de mot de passe local à modifier, et une connexion normale ne lie jamais silencieusement une nouvelle identité.

Secrets#

Les clés API, jetons de connecteur, secrets d'application, secrets de webhook et clés de fournisseur vocal sont des identifiants. Stockez-les dans un gestionnaire de secrets approuvé, jamais dans le code côté client, et renouvelez-les après toute exposition.

Principe du moindre privilège#

Choisissez des portées d'API restreintes, des applications dédiées sur les plateformes externes, des origines d'embed précises et des clés distinctes pour chaque système. Supprimez les identifiants et les intégrations inutilisés.

Contenu et confidentialité#

Importez uniquement les données que l'agent est autorisé à utiliser. Testez les refus et les parcours d'escalade, et appliquez des règles de conservation aux exports de conversations et de leads.

Signalement#

Lorsque vous signalez une vulnérabilité présumée, indiquez l'URL ou le composant concerné, l'impact et les étapes de reproduction, sans accéder aux données d'autres utilisateurs.