Intercom hilft Ihnen, Ihre Kunden zu verstehen und zu unterstützen, indem Sie Benutzerdaten wie Namen, E-Mail-Adressen, Abonnementstufen und mehr in Echtzeit senden und aktualisieren können. Diese Daten sind entscheidend für Automatisierung, personalisierten Support und Kontext für Teammitglieder.
Um sicherzustellen, dass diese Informationen vertrauenswürdig und sicher bleiben, bietet Intercom Kontrollmechanismen, die die Quelle von Datenaktualisierungen mit JSON Web Tokens (JWTs) verifizieren, sowie optionale Durchsetzungseinstellungen, um nicht signierte Aktualisierungen zu blockieren.
Die Risiken unsicherer Daten
Wenn ein Datenattribut nicht gesperrt ist
Böswillige users könnten die an Intercom gesendeten Daten fälschen oder manipulieren
Ihr Workspace könnte ungenaue oder manipulierte Benutzerinformationen anzeigen.
Kritische workflows (wie gezielte Nachrichten oder Support-Automatisierungen) könnten basierend auf nicht vertrauenswürdigen Eingaben ausgelöst werden.
Signieren Ihrer Datenattribute mit JWTs
Um Manipulationen zu verhindern, unterstützt Intercom JSON Web Tokens (JWTs). JWTs ermöglichen es Ihnen, die Benutzerdaten, die Sie an Intercom senden, zu signieren und so zu beweisen, dass sie von Ihrem Backend und nicht vom Browser eines Benutzers stammen.
Dies gilt für:
Standardattribute wie Name, E-Mail, Anmeldedatum usw.
Benutzerdefinierte Attribute, die Sie definieren, um zusätzliche Benutzerdetails zu verfolgen.
Bei Verwendung von JWTs:
Sie generieren ein Token in Ihrem Backend mit allen Attributen, die Sie aktualisieren möchten.
Sie signieren das Token mit einem geheimen Schlüssel.
Sie senden das JWT zusammen mit der Benutzersitzung an Intercom.
Mehr dazu hier:
Durchsetzung signierter Attributaktualisierungen
Standardmäßig akzeptiert Intercom Attributaktualisierungen sowohl von signierten als auch von nicht signierten Quellen (z. B. direkt vom Browser oder von Ihrem Backend). Um Ihre Daten vollständig zu sichern, sollten Sie die Einstellung „Require verified updates“ in Intercom aktivieren.
Wenn diese Einstellung aktiviert ist, werden alle Versuche, Attribute über den Messenger zu setzen oder zu aktualisieren, ignoriert, sofern sie nicht von einer authentifizierten Anfrage stammen (z. B. über JWT oder die REST API). Dies stellt sicher, dass nur vertrauenswürdige, verifizierte Quellen Benutzerdaten in Intercom ändern können.
Wir empfehlen, diesen Schalter für alle Attribute zu aktivieren, die Sie in Ihrem JWT senden.
Gehen Sie zu Einstellungen > Daten > Personen
Wählen Sie das Attribut aus, das Sie sperren möchten
Aktivieren Sie den Schalter „Require verified updates“
Dieser Attributaktualisierungsschalter verhindert nicht, dass Sie Daten direkt von leads mit einem Bot sammeln. Diese Daten stammen direkt vom Benutzer.
Wichtig: Dies ist eine arbeitsbereichweite Einstellung. Stellen Sie sicher, dass Ihr Backend vollständig eingerichtet ist, um alle erforderlichen Attribute vor der Aktivierung zu signieren.
Beste Praktiken
Signieren Sie alle wichtigen Benutzer-Datenaktualisierungen mit JWTs, insbesondere solche, die für Messaging, Targeting oder Geschäftslogik verwendet werden.
Sperren Sie Ihre Attribute in Einstellungen > Daten > Personen.
Geben Sie Ihr JWT-Geheimnis niemals in Frontend-Code preis.
Fügen Sie eine Token-Ablaufzeit (exp) hinzu, um die Auswirkungen der Wiederverwendung von Tokens zu begrenzen.
FAQs
Was sind Attributschutzmaßnahmen?
Jedes Attribut, das Sie über users oder Unternehmen an Intercom senden, kann mit einem Schalter gesperrt werden, um verifizierte Aktualisierungen über den Messenger-Kanal zu verlangen. Wenn Sie ein Attribut sperren, können nur Werte, die über ein sicheres JWT oder die REST API gesendet werden, diesen Wert aktualisieren. Dies verhindert unautorisierte Aktualisierungen von Benutzerdaten und stellt sicher, dass nur von Ihnen stammende Aktualisierungen auf die Benutzerdaten angewendet werden.
Sie können den Status Ihres Attributs in Einstellungen > Daten > Personen überprüfen. Um mehr über die Sicherung Ihres Messengers mit JWTs zu erfahren, lesen Sie unser Hilfsartikel.
Gilt das auch für Standardattribute?
Ja. Sie müssen alle Attribute, Standard- und benutzerdefinierte, aus Einstellungen > Daten > Personen sperren.
Was passiert, wenn mein Frontend Daten ohne JWT sendet, nachdem die Durchsetzung aktiviert wurde?
Die Daten werden ignoriert. Intercom wendet keine Aktualisierungen an, es sei denn, das JWT ist vorhanden und gültig.
Kann ich die JWT-Durchsetzung testen, bevor ich sie in der Produktion aktiviere?
Ja. Verwenden Sie Ihren Test-Workspace, um Ihre Implementierung zu überprüfen.
Verwandte Ressourcen