Bezpečnost chat widgetu
Tato stránka je pro toho, kdo posuzuje chat widget ELIA Assistant předtím, než se nasadí na web. Uvádí přesně, co widget načítá, se kterými servery komunikuje, co ukládá v prohlížeči návštěvníka a jak si to všechno můžete ověřit sami.
Co se načítá
Kód pro vložení načte jeden malý skript, https://app.elia-assistant.com/widget.js. Ten pak načte samotný chat, pevně danou verzi balíčku @elia-assistant/chatui z cdn.jsdelivr.net.
Chat je připnutý dvakrát: přesným číslem verze a hashem Subresource Integrity (SRI). Kdyby se soubor na jsDelivr byť jen o jeden bajt lišil od toho, který jsme zveřejnili, prohlížeč návštěvníka ho odmítne spustit a chat se jednoduše nezobrazí. Třetí strana nemůže změnit, co běží na vašem webu.
Balíček je veřejně dostupný na npm pod licencí MIT, takže přesný kód, který spouštějí vaši návštěvníci, si můžete stáhnout a zkontrolovat: https://cdn.jsdelivr.net/npm/@elia-assistant/chatui@<verze>/dist/chatui.iife.js, s verzí uvedenou ve widget.js.
Jako každý skript vložený na stránku i widget běží s oprávněními stránky. Vykresluje se ve vlastním Shadow DOM a nečte obsah vaší stránky, formuláře ani cookies, ale zárukou toho je právě připnutí popsané výše, a proto ho používáme.
Servery, se kterými widget komunikuje
| Server | Proč |
|---|---|
app.elia-assistant.com |
Zavaděč widget.js |
cdn.jsdelivr.net |
Připnutý balíček chatu |
api.elia-assistant.com |
Nastavení widgetu, živý chat s vašimi agenty, nahrávání souborů |
eliainfra.app.n8n.cloud |
AI asistent, který odpovídá na zprávy |
Nic jiného, pokud to sami nenastavíte: vlastní obrázek avatara, URL feedu s FAQ nebo oznámeními či obrázky v odpovědích se načítají odtud, kde jsou uložené. Soubory, které nahrají návštěvníci, se ukládají u našeho poskytovatele hostingu a odkazuje se na ně odtud.
Content Security Policy
Pokud váš web posílá Content Security Policy, přidejte tyto zdroje:
script-src https://app.elia-assistant.com https://cdn.jsdelivr.net;
connect-src https://api.elia-assistant.com https://eliainfra.app.n8n.cloud;
img-src https: data:;
style-src 'unsafe-inline';
style-src 'unsafe-inline' je potřeba, protože styly widgetu se vkládají jako element <style> do jeho vlastního Shadow DOM, kde nemohou ovlivnit vaši stránku. Pokud povolujete jen konkrétní servery s obrázky, přidejte server vašeho vlastního avatara a obrázků, které obsahují odpovědi.
Co se ukládá v prohlížeči návštěvníka
Widget nenastavuje žádné cookies a jeho požadavky na naše servery žádné neposílají. Používá jen úložiště prohlížeče:
| Klíč | Úložiště | Účel |
|---|---|---|
elia-widget:<id widgetu> |
localStorage | Nastavení widgetu, aby se chat vracejícímu se návštěvníkovi spustil bez čekání na náš server |
chatui-settings |
localStorage | Motiv, jazyk a nastavení widgetu |
chatui-chat |
localStorage | Konverzace, aby v ní návštěvník mohl pokračovat po obnovení stránky |
chatui-maximized |
sessionStorage | Zda je okno chatu maximalizované |
Pokud na jedné stránce běží dva widgety, klíče chatui- dostanou příponu pro každý widget. Jak toto úložiště zapadá do vašeho vlastního oznámení o cookies, najdete v našich Zásadách cookies.
Žádné sledování
Widget neobsahuje analytický, reklamní ani sledovací kód a neposílá žádné jiné požadavky kromě výše uvedených. To, co návštěvníci napíší do chatu, zpracováváme podle Smlouvy o zpracování údajů a Zásad ochrany osobních údajů.
Ověřte si to sami
- Otevřete nástroje pro vývojáře v prohlížeči na stránce s widgetem a podívejte se na kartu Network: každý požadavek směřuje na jeden ze serverů uvedených výše.
- Ve
widget.jshodnotyVERSIONaINTEGRITYukazují přesnou načítanou verzi a její hash. - Pokud chcete mít aktualizace zcela pod kontrolou, nainstalujte si
@elia-assistant/chatuiz npm a sestavte ho spolu s vlastním webem. Kód se pak změní, jen když ho aktualizujete vy.
Dotazy vašeho bezpečnostního týmu rádi zodpovíme na info@elia-assistant.com.