API kalitni qanday xavfsiz saqlash kerak: sayt, CRM va qo‘ng‘iroq xizmati ulanganda

API kalit nima va nega u parol bilan teng

Saytingiz formasi, CRM yoki 1C qo‘ng‘iroq xizmatiga ma’lumot yuborganda kalit bilan o‘zini tanitadi. Kalitni bilgan odam sizning nomingizdan lid yubora oladi. Ovozli operator esa shu lidga sizning raqamingizdan qo‘ng‘iroq qiladi. Suhbat matnini o‘qish ruxsati bor kalit bilan esa mijozlaringiz nima deganini o‘qish mumkin.

Demak, kalit sizib chiqsa, xavf faqat texnik emas: begona odamlarga qo‘ng‘iroq ketadi, mijoz ma’lumotlari ochilib qoladi, brendingiz nomi bilan noqulay suhbatlar bo‘ladi.

API kalitni xavfsiz saqlashning 7 qoidasi

• Har bir tizimga alohida kalit. Sayt formasi, CRM va 1C uchun uch xil kalit oching. Bittasi sizib chiqsa, faqat o‘shani almashtirasiz, qolganlari ishlayveradi.
• Faqat kerakli ruxsat. Sayt formasi faqat lid yuboradi — unga lid yozish ruxsati yetadi. Suhbat matnlarini faqat ularni rostdan ishlatadigan tizim o‘qisin.
• Kalit serverda turadi. Uni server sozlamalarida (environment variables) yoki maxfiy kalitlar omborida saqlang. Brauzerda ishlaydigan sayt kodiga yoki mobil ilovaga qo‘ymang: u yerdan kalitni har kim ko‘ra oladi.
• Chat va fayllarda emas. Kalitni Telegram’da, pochtada, Excel jadvalda yoki Git repozitoriyda yubormang. Dasturchiga kerak bo‘lsa, unga alohida kalit oching.
• Ro‘yxat yuriting: qaysi kalit qayerda turibdi, kim qo‘ygan, qachon. Masalan: «sayt formasi — 3-noyabr — dasturchi Anvar».
• Odam ketsa, kalit almashtiriladi. Dasturchi, agentlik yoki IT xodim ketgan kuni u ko‘rgan kalitlarni yangilang.
• Vaqti-vaqti bilan almashtiring: masalan, har olti oyda, hech narsa bo‘lmagan bo‘lsa ham.

Qaysi tizimga qanday ruxsat kerak

Ruxsat nomlari Sado API’sidan olingan. Boshqa xizmatlarda nomlari boshqacha bo‘lishi mumkin, qoida bir xil: tizim faqat o‘z ishiga keraklisini oladi.

Webhook: so‘rov rostdan ham xizmatdan kelganmi

Webhook — xizmat qo‘ng‘iroq natijasini sizning manzilingizga o‘zi yuboradi. Bu manzilni boshqalar ham topib qolishi mumkin, shuning uchun har bir so‘rovni tekshiring:

• Faqat HTTPS manzil ishlating.
• Imzoni tekshiring. Sado har bir so‘rovni imzolaydi: X-Sado-Signature sarlavhasi — maxfiy kalit bilan HMAC-SHA256. Imzo mos kelmasa, so‘rovni rad eting.
• 5 daqiqadan eski so‘rovni qabul qilmang: shunda eski so‘rovni qayta yuborib aldab bo‘lmaydi.
• Webhook maxfiy kalitini ham API kalit kabi serverda saqlang.

Kalit sizib chiqsa: 5 qadam

1. 1Yangi kalit oching va uni tizimga qo‘ying.
2. 2Eski kalitni darhol bekor qiling — ertaga emas, hozir.
3. 3Kalit sizgan vaqtdan beri kelgan lidlar va qo‘ng‘iroqlarni ko‘rib chiqing: notanish raqamlar, g‘alati vaqtlar, bir xil ismlar.
4. 4Begona lidlarga qo‘ng‘iroq ketayotgan bo‘lsa, barcha qo‘ng‘iroqlarni bitta tugma bilan to‘xtating va tekshiruvdan keyin qayta yoqing.
5. 5Kalit qayerdan sizganini toping (chat, fayl, sayt kodi), o‘sha joyni tozalang va Sado jamoasiga ham yozing.

Sado API kalitlari qanday ishlaydi

Kalit portalda ochiladi: Sozlamalar → API kalitlari. U faqat bir marta ko‘rsatiladi, shuning uchun darhol server sozlamalariga ko‘chiring. Har bir kalitning o‘z ruxsatlari bor: leads:write, leads:read, calls:read, calls:content (xulosa va matn), catalog:write. Bitta kalitga daqiqasiga 600 so‘rov yuborish mumkin. 429 xatolari birdan ko‘paysa, tekshiring: bu tizimingizdagi xato yoki begona foydalanish belgisi bo‘lishi mumkin.

API orqali yuborilgan har bir lidda rozilik asosi yoziladi: odam ariza qoldirgan, rozilik bergan yoki sizning mijozingiz. Lid kelishi bilan AI operator qo‘ng‘iroq qiladi, natija webhook yoki voqealar lentasi orqali qaytadi. Kod namunalari — dasturchilar sahifasida, CRM bilan ulash haqida — qo‘ng‘iroqlar va CRM, qisqa javoblar — ko‘p so‘raladigan savollar.

Savollar