Data connectors verwenden APIs, um sich mit externen Systemen zu verbinden und vorhandene Daten abzurufen und/oder zu aktualisieren. Deshalb ist es wichtig, einige Dinge zu beachten, wenn Sie Data connectors in Intercom einrichten.

Wenn Sie Drittanbieter-APIs (nicht intern entwickelte APIs) mit Data connectors in Intercom nutzen, haben Sie wahrscheinlich wenig bis keine Kontrolle darüber, wie sie funktionieren oder welche Antwort Sie auf eine Anfrage erhalten.

Das untenstehende Handbuch ist dennoch eine nützliche Anleitung, aber einige Abschnitte sind möglicherweise nicht vollständig auf Ihren Anwendungsfall anwendbar.

Unsere Ingenieure haben eine Liste von Punkten zusammengestellt, die Sie beim Entwerfen oder Ändern Ihrer bestehenden APIs beachten sollten, damit sie mit Fin und Data connectors in Intercom funktionieren.

Wir empfehlen dringend, dass Sie Messenger Security mit JWTs aktivieren. Die Absicherung Ihres Messengers ist die wichtigste Sicherheitsmaßnahme für Ihre Integration.

Es ermöglicht Ihnen auch, mehrere Attribute zu signieren über unsere JavaScript API, sodass Sie Daten über Ihre users sicher über den Messenger senden können, anstatt eine andere Integration wie z. B. REST API zu verwenden.

Um die Vorteile des sicheren Sendens von Daten zu nutzen, können Sie Ihre Attribute vor unsicheren Messenger-Updates schützen. Dann wird jedes gesendete JWT, das wir als sichere Quelle betrachten, dieses Feld beim user weiterhin aktualisieren. Dies ist entscheidend für Data connectors, wenn der Data connector sensible Daten anzeigt oder Daten manipuliert.

Wenn Ihr Data connector beispielsweise eine Anfrage an die API mit „GET /accounts/<account_id>/invoices“ stellt, sollten Sie sicherstellen, dass account_id geschützt ist, damit der user nicht einfach account_ids aufzählen und Daten sammeln kann. Wenn Ihr Data connector jedoch „GET /pizza-order-status/<order_id>“ ist, ist Ihnen die Vertrauenswürdigkeit von „order_id“ möglicherweise egal, und es ist Ihnen egal, ob diese Info der richtigen Person angezeigt wird.

Außerdem sollten Sie sicherstellen, dass das Attribut, das Ihr Data connector zur eindeutigen Identifizierung Ihrer users verwendet (z. B. E-Mail), vertrauenswürdig ist. Das bedeutet, dass Sie die Quelle der identifizierenden Attribute Ihres Data connectors vertrauen müssen. Wenn Ihr Data connector den user beispielsweise über user_id identifiziert, ist die Identitätsprüfung das Signieren des user_id-Attributs. Wenn Ihr Data connector den user über E-Mail oder ein anderes Attribut identifiziert, ist dieses Attribut geschützt und wird nicht ohne Verifizierung vom End User gesammelt.

Dies verhindert, dass böswillige Akteure beispielsweise eine fremde E-Mail-Adresse angeben und auf einen Data connector wie „Get bank statements by email“ zugreifen, was sensible Finanzdaten offenlegen würde.

Wo möglich, empfehlen wir, nicht die E-Mail als primären Identifikator zum Abrufen von Daten Ihrer users zu verwenden, sondern etwas Zufälligeres wie eine eindeutige, nicht erratbare user ID.

Für die Identitätsprüfung von leads arbeitet unser Team derzeit an einer One-Time-Password-(OTP)-Funktion, die Ihnen hilft, die Identität einer Person zu verifizieren, wenn sie als lead Ihren Support kontaktiert. Wenn Sie an dieser Funktion interessiert sind, wenden Sie sich gerne über den Messenger an unser Support-Team, das Ihnen bei der Aktivierung behilflich ist.

Sie sollten auch sicherstellen, dass der user keine Data connectors ausführen kann, zu denen er nicht berechtigt ist, z. B. eine Bestellung einer anderen Person durch Kenntnis der Bestell-ID zu stornieren. Diese Logik wird nicht von Intercom gehandhabt, und Sie/Ihr Sicherheitsteam sollten eine Risikoanalyse durchführen und geeignete Methoden zur Handhabung von Authentifizierung und Autorisierung entwickeln.

Intercom unterstützt derzeit statische Tokens, HTTP-Tokens und OAuth (geschlossene Beta, kontaktieren Sie uns für weitere Informationen über den Messenger). Welchen Token Sie auch verwenden, es liegt in Ihrer Verantwortung, ihn geheim zu halten und bei einem Leak so schnell wie möglich zu aktualisieren. Als Best Practice empfehlen wir, OAuth-Tokens wann immer möglich zu verwenden.

Idealerweise sollte die API nur die Daten zurückgeben, die für Ihren Workflow erforderlich sind. Dies kann jedoch unrealistisch sein, und die API könnte eine Menge Daten zurückgeben, die für die Durchführung des Workflows, in dem der Data connector verwendet wird, tatsächlich nicht benötigt werden.

Wenn Sie APIs von Grund auf neu erstellen, die ausschließlich mit Data connectors und Fin Workflows verwendet werden sollen, können Sie entweder:

Einige Überlegungen, die bei der Entscheidung, welche und wie viele Daten Ihre API zurückgibt, berücksichtigt werden sollten, sind:

Außerdem sollten Sie immer verhindern, dass users fehlerhafte Daten eingeben oder einfach etwas eintippen.

Beispielsweise sollten Sie den user nicht bitten, seine Konto-ID einzugeben, sondern ihm basierend auf einem bekannten, sicheren Identifikator seine Konto-IDs anzeigen und ihn aus einer Dropdown-Liste auswählen lassen. Mehr dazu, wie Sie Daten von users erfassen können, finden Sie hier.