Um neue Authentifizierungsmethoden für Data connectors einzurichten, gehen Sie zu Einstellungen > Integrationen > Authentifizierung und klicken Sie auf Token hinzufügen.
Sie haben zwei Hauptansätze zur Einrichtung eines Tokens: Verbindung mit einem vorkonfigurierten Anbieter oder Erstellung eines benutzerdefinierten Tokens:
Verbindung mit einem vorkonfigurierten Anbieter (OAuth)
Wir bieten vorkonfigurierte, dreistufige OAuth-Flows für unterstützte Anbieter (wie Salesforce, HubSpot und Attio) an, um die Authentifizierung schnell und nahtlos zu gestalten.
Um einen dieser Anbieter zu verbinden:
Gehen Sie zu Einstellungen > Integrationen > Authentifizierung und klicken Sie auf Token hinzufügen.
Wählen Sie den gewünschten Anbieter aus dem Dropdown-Menü aus.
Sie werden zur Autorisierungsseite des Anbieters weitergeleitet. Überprüfen Sie die angeforderten Berechtigungen und klicken Sie auf Bestätigen (oder Zulassen), um die Verbindung zu autorisieren.
Nach Abschluss des OAuth-Flows erscheint Ihr neuer Zugriffstoken automatisch in Ihrer Tokenliste.
Wenn Sie auf Ihr neu erstelltes Token klicken, wird dessen Konfiguration angezeigt. Da es sich um eine vorkonfigurierte Integration handelt, sind nur die Felder Name und Beschreibung bearbeitbar. Sie sehen außerdem:
API URL: Die Basis-URL, die bei API-Aufrufen an diesen Anbieter in Ihren Data connectors verwendet wird. Sie können diese schnell mit dem Symbol In die Zwischenablage kopieren kopieren.
Bereich: Eine schreibgeschützte Liste der Berechtigungen, die dem Token gewährt wurden.
Token erneut authentifizieren
Wenn ein Token auf der Anbieterseite deaktiviert oder fehlerhaft wird, müssen Sie es nicht löschen und neu erstellen. Öffnen Sie einfach die Token-Details und klicken Sie oben rechts auf die Schaltfläche Erneut authentifizieren. Dadurch wird der OAuth-Flow erneut durchlaufen und Ihr bestehendes Token automatisch aktualisiert, sodass Ihre verbundenen Data connectors ohne manuelle Updates weiter funktionieren.
Erstellung eines benutzerdefinierten Tokens
Wenn Sie eine Verbindung zu einem Dienst herstellen müssen, der nicht in der vorkonfigurierten Liste enthalten ist:
Gehen Sie zu Einstellungen > Integrationen > Authentifizierung und klicken Sie auf Token hinzufügen.
Wählen Sie Benutzerdefiniert.
Wählen Sie dann den Token-Typ aus dem Dropdown-Menü, den Sie erstellen möchten.
Text-Tokens
Text-Tokens sind statische Tokens. Sie können den Namen, die Beschreibung, den Wert, das Token-Präfix und den Schlüssel für den Anforderungsheader festlegen, der das Token enthält und in die Data connector-Anfrage eingefügt wird.
HTTP-Anfrage-Tokens
HTTP-Anfrage-Tokens sind dynamisch. Sie konfigurieren eine HTTP-Anfrage an Ihren Authentifizierungs-Endpunkt, die das Token bei Bedarf aktualisiert. Diese Tokens müssen vor dem Speichern über die Benutzeroberfläche für Authentifizierungs-Tokens getestet werden. Sie können den Namen, die Beschreibung und die Felder festlegen, die die Anfrage selbst beeinflussen. Dazu gehören die HTTP-Anfragemethode, URL, HTTP-Header und beliebige Schlüssel-Wert-Paare.
Testen Sie das Token, indem Sie auf Anfrage testen klicken und dann den Speicherort des Tokens in der Antwort, das Token-Präfix und den Schlüssel für den Anforderungsheader angeben.
Wenn ein HTTP-Anfrage-Token einem Data Connector zugewiesen ist, verwendet der Connector das zuletzt abgerufene Token für seine Anfragen. Wenn eine Anfrage eine 400-, 401- oder 403-Antwort zurückgibt, wird das Token durch Senden einer HTTP-Anfrage an die angegebene Authentifizierungs-Endpunkt-URL aktualisiert. Die ursprüngliche Data connector-Anfrage wird dann mit dem neu abgerufenen Token erneut versucht.
HTTP-Anfrage-Tokens werden von Intercom automatisch aktualisiert, um die Funktion der Data connectors aufrechtzuerhalten. Diese Updates erfolgen im Hintergrund ohne menschliches Zutun und können als Aktualisierung durch „System“ oder „Fin“ erscheinen, um eine automatisierte Aktualisierung anzuzeigen.
Hinweis: Wenn Ihr Server für eine Zugriffsverweigerung eine 200 zurückgibt, wird das Token nicht aktualisiert. Sie müssen Ihre Server so anpassen, dass in diesem Fall eine 400-, 401- oder 403-Antwort zurückgegeben wird.
Wenn es ein Problem bei der Aktualisierung eines Tokens gibt, wird das Problem im „Protokolle“-Tab des Data connectors protokolliert.
OAuth-Anfrage-Tokens
OAuth-Anfragen ermöglichen das Anfordern und Aktualisieren von Tokens durch eine POST-Anfrage im OAuth Client Credentials Grant-Format.
Bitte geben Sie die url, client_id, client_secret und optional das Feld scope an. Wählen Sie das Anforderungsformat JSON oder Form Encoded entsprechend Ihrer Token-Server-Konfiguration.
Eine Vorschau des Anforderungs-Headers und -Bodys wird angezeigt.
Klicken Sie auf Anfrage testen, nachdem Sie alle erforderlichen Felder ausgefüllt haben.
Intercom sucht im Antwortpfad access_token nach dem Token.
Speichern Sie das Token, sobald der Test bestanden ist.
Ähnlich wie beim HTTP-Anfrage-Token führt das System eine Token-Aktualisierung durch, wenn eine Data connector-Anfrage eine 400, 401 oder 403-Antwort erhält.
OAuth-Anfrage-Tokens werden vom System automatisch bei Bedarf aktualisiert. Diese Updates werden nicht von einem menschlichen Administrator ausgelöst und können als Aktualisierung durch „System“ oder „Fin“ erscheinen, um eine automatisierte Aktualisierung anzuzeigen.
Benutzer-Tokens
Benutzer-Tokens ermöglichen die Authentifizierung von Data connectors mit einem benutzerdefinierten Token. Diese Tokens werden von Drittanbietersystemen erstellt und aktualisiert. Ein bekanntes Beispiel für ein solches Token sind JSON Web Tokens (JWT).
JWT ist eine sichere Methode zur Verifizierung der Benutzeridentität. Sie können diesen neuen Authentifizierungstoken-Typ jetzt verwenden, um Ihre Data connectors zu sichern. Dies ermöglicht eine flexiblere und sicherere Kommunikation zwischen Ihren Systemen und Intercom.
Verwendung des Tokens in einem Data connector
Sobald Ihr Token-Typ erstellt ist:
Gehen Sie zu Einstellungen > Integrationen > Data connectors und öffnen Sie den Connector, den Sie konfigurieren möchten.
Wählen Sie den API-Tab aus.
Wählen Sie im Abschnitt Authentication tokens Ihr Token aus dem Dropdown-Menü aus.
Erstellen und Aktualisieren von user tokens
Die gesamte Verwaltung der user tokens erfolgt durch Systeme von Drittanbietern.
Intercom('boot', {
app_id: 'abc12345',
email: 'john.doe@example.com',
created_at: 1234567890,
name: 'John Doe',
user_id: '9876',
auth_tokens: {
security_token: 'abc...' // JWT
}
});
Diese Systeme von Drittanbietern sind auch für die Aktualisierung des Sicherheitstokens und dessen periodische Erneuerung verantwortlich.
Intercom('update', {
app_id: 'abc12345',
auth_tokens: {
security_token: 'bcd...' // JWT
}
});
Intercom('setAuthTokens', {
security_token: 'abc...' // JWT
});
# Swift
Intercom.setAuthTokens({
security_token: 'abc...' // JWT
});
# Kotlin
Intercom.client().setAuthTokens({
security_token: 'abc...' // JWT
});
Unterstützung für mehrere Tokens
Sie können mehrere Tokens an einen einzelnen Data connector anhängen. Jeder angehängte Token muss mit einem einzigartigen Header-Schlüssel konfiguriert werden (z. B. Authorization, X-API-Key). Alle angehängten Tokens werden mit der Anfrage gesendet.
Diese Einrichtung ermöglicht es Ihnen, Data connectors mit diesem Token auszulösen – entweder über Workflows oder Fin. Der Data connector funktioniert weiterhin, auch wenn der Tokenwert aktualisiert wird, da er in Echtzeit aktualisiert wird, um eine unterbrechungsfreie Authentifizierung zu gewährleisten.
Um einen pro Benutzer JWT mit einem Data connector zu verwenden, erstellen Sie ein „User“-Authentifizierungstoken und übergeben dessen aktuellen Wert über auth_tokens (z. B. Intercom('setAuthTokens')), anstatt sich auf den Messenger intercom_user_jwt zu verlassen.
E-Mail-Verifizierung mit einem Einmal-Passcode (OTP)
E-Mail-Verifizierung für Data connectors mit OTP bietet einen zusätzlichen Verifizierungsschritt, bevor ein Data connector verwendet wird, indem Kunden aufgefordert werden, ihre Identität durch einen einzigartigen, zeitlich begrenzten Code per E-Mail zu bestätigen.
Diese Methode fügt eine zusätzliche Sicherheitsebene über den user authentication tokens (z. B. JWTs) hinzu. Wenn aktiviert, müssen Kunden den E-Mail-basierten Verifizierungsprozess abschließen, bevor ein Data connector fortfahren kann. Dies stellt sicher, dass nur autorisierte Benutzer sensible Vorgänge ausführen können und verhindert den Missbrauch automatisierter workflows.
Kunden-Authentifizierung für data connectors
Die Kunden-Authentifizierung ermöglicht es Ihnen, die Identität eines Kunden zu überprüfen, bevor ein data connector ausgeführt wird. Im Gegensatz zur API-Token-Authentifizierung (die die Server-zu-Server-Kommunikation sichert) bestätigt die Kunden-Authentifizierung die Identität des Endbenutzers – so dass nur autorisierte Kunden sensible Connectoren auslösen können.
Authentifizierungsregeln werden unter Einstellungen > Workspace > Sicherheit > Kunden-Authentifizierung konfiguriert und gelten für alle data connectors, bei denen die Authentifizierung aktiviert ist. Regeln können pro Kanal und Zielgruppe festgelegt werden.
Eine Fallback-Regel deckt alle Kanäle und Zielgruppen ab, die nicht anderweitig spezifiziert sind, sodass jeder authentifizierte Connector immer geschützt ist.
Neuer Workspace
Wenn ein neuer Workspace erstellt wird, wird die Fallback-Authentifizierungsregel automatisch auf E-Mail OTP gesetzt. Dies gilt für alle Kanäle und Zielgruppen, die nicht durch eine spezifischere Regel abgedeckt sind.
Hinzufügen einer Regel
Wenn Sie eine neue Kanal- oder Zielgruppenregel erstellen, wird basierend auf dem Kanaltyp eine Standard-Authentifizierungsmethode angewendet:
Kanal | Standard-Verifizierungsmethode |
Messenger (Web, iOS, Android) | Messenger-Sicherheit (JWT) |
Alle anderen Kanäle | Keine Verifizierung (Fallback-Regel gilt) |
Verifizierungsmethoden
Es stehen zwei Verifizierungsmethoden zur Verfügung:
E-Mail OTP — sendet einen Einmal-Passcode an die E-Mail-Adresse des Kunden. Der Kunde muss diesen Code eingeben, bevor der Connector ausgeführt wird. Details zur Einrichtung finden Sie unter Sichere Data connectors mit Einmal-Passcode.
Messenger-Sicherheit (JWT) — verwendet Ihre bestehende Messenger-Identitätsverifizierung (User token). Erfordert die Einrichtung von Messenger-Sicherheit mit JWTs. Siehe User tokens oben.
Tipp: Messenger-Sicherheit (JWT) bietet die stärkste Identitätsgarantie und ist die empfohlene Methode für Messenger-basierte Gespräche. Es verifiziert die Identität, ohne Ihren Kunden zusätzliche Hürden zu bereiten.
Authentifizierung für einen Connector aktivieren
Die Authentifizierung muss für jeden data connector, bei dem sie durchgesetzt werden soll, einzeln aktiviert werden:
Gehen Sie zu Einstellungen > Integrationen > Data connectors und öffnen Sie den Connector.
Wählen Sie den Tab Sicherheit.
Schalten Sie Kunden-Authentifizierung ein.
Führen Sie alle Sicherheitsprüfungen durch, speichern Sie dann und setzen Sie den Connector live.
Nach der Aktivierung erzwingt der Connector die Workspace-Authentifizierungsregeln, die für den Kanal und die Zielgruppe des eingehenden Gesprächs gelten.
Hinweis: Wenn Sie möchten, dass ein data connector ohne Identitätsprüfung ausgeführt wird, können Sie die Kunden-Authentifizierung vollständig deaktivieren. Öffnen Sie den Connector, wählen Sie den Tab Sicherheit und schalten Sie Kunden-Authentifizierung aus.
Sicherheitsprüfungen
Wenn Sie einen data connector speichern, zeigt Intercom automatisch potenzielle Sicherheitsrisiken in Ihrer Konfiguration an. Diese erscheinen als Warnungen im Tab Sicherheit und sollten vor dem Live-Schalten des Connectors überprüft werden. Jede Warnung beschreibt das Risiko und gibt eine Empfehlung zur Behebung.
Warnung | Was es bedeutet | Wie man es behebt |
Kundendatenattribute werden nicht verifiziert | Kundendatenattribute können von Fin aktualisiert werden, ohne dass der Kunde zuvor seine Identität verifiziert hat. | Aktivieren Sie die Kunden-Authentifizierung für diesen Connector, damit Attributaktualisierungen an eine verifizierte Identität gebunden sind. |
Daten, die von Fin für diesen Connector gesammelt werden, müssen überprüft werden | Fin sammelt Informationen vom Kunden, bevor Ihre API aufgerufen wird. Wenn diese Eingaben nicht validiert werden, kann Ihr Backend unbestätigte oder manipulierte Daten verarbeiten. | Validieren Sie alle von Fin empfangenen Eingaben in Ihrem Backend, bevor Sie sie verarbeiten oder speichern. Verlassen Sie sich nicht auf vom Kunden bereitgestellte Werte ohne serverseitige Prüfungen. |
Workflows, die diesen data connector verwenden, müssen überprüft werden | Ein oder mehrere Workflows, die diesen Connector verwenden, könnten sensible Kundendaten ohne ausreichende Backend-Validierung offenlegen. | Überprüfen Sie die markierten Workflows und fügen Sie eine Backend-Validierung hinzu, um zu verhindern, dass sensible Daten offengelegt oder missbraucht werden. |
Ein Anforderungsheader für diesen Datenconnector muss überprüft werden | Kundendetails (wie E-Mail-Adresse) werden als Anforderungsheader gesendet – zum Beispiel | Stellen Sie sicher, dass Ihre Backend-API den empfangenen Header-Wert validiert, anstatt ihm unverändert zu vertrauen. |
Hinweis: Das "Unsicher"-Abzeichen, das bei einem einzelnen Connector-Attribut angezeigt wird (z. B. für einen von Fin gesammelten Wert, der nicht verifiziert ist), unterscheidet sich von den oben genannten lösbaren Warnungen im Sicherheits-Tab. Es ist ein permanenter, absichtlich gesetzter Indikator für jeden nicht verifizierten/unsicheren Wert, den Fin sammelt – eine Abweisungsaktion in der Connector-Bearbeitungsansicht entfernt es nicht, und es erscheint erneut, selbst nachdem Sie das Attribut überprüft und bestätigt haben, dass es sicher zu verwenden ist. Es ist keine umsetzbare Warnung, die Sie beheben oder dauerhaft ablehnen können; es kennzeichnet lediglich, dass der Wert nicht durch Kunden-Authentifizierung verifiziert wurde. Wenn Sie möchten, dass diese Art von Attribut nicht mehr markiert wird, ist der einzige Weg, die Kunden-Authentifizierung für den Connector zu aktivieren (siehe oben), sodass der Wert mit einer verifizierten Identität verknüpft ist.
Anmeldedaten
Die Seite Anmeldedaten (Einstellungen > Integrationen > Anmeldedaten) bietet Ihnen eine zentrale Übersicht über alle Authentifizierungsanmeldedaten, die in Ihren Datenconnectors verwendet werden. Die Tabelle zeigt Name, Typ, wer sie erstellt hat und wer sie zuletzt aktualisiert hat – was die Überprüfung des Zugriffs auf externe Systeme erleichtert.
Logik
Textbasierte Tokens sind unkompliziert – der Datenconnector verwendet den zugewiesenen Tokenwert, wann immer er eine Test- oder Live-Datenconnector-Anfrage sendet.
HTTP-Anforderungstokens folgen einem komplexeren Ablauf. Sowohl für Test- als auch für Live-Datenconnectors verwendet der Datenconnector zunächst den zuletzt abgerufenen Token. Wenn die Anfrage fehlschlägt, sendet er eine Aktualisierungsanfrage und versucht dann erneut, den Datenconnector mit dem neuen Token zu verwenden. Dieser Wiederholungsversuch erfolgt nur einmal, um eine Endlosschleife zu vermeiden.
Wenn der Datenconnector weiterhin aufgrund fehlgeschlagener Aktualisierungsanfragen fehlschlägt, wird der Circuit Breaker ausgelöst, genau wie bei jedem Datenconnector, der wiederholte Fehler erfährt.
Bekannte Einschränkungen
Derzeit unterstützen weder die Authentifizierungstoken-Typen Text noch HTTP Request unterschiedliche Authentifizierungsanfragedetails pro Kunde. Üblicherweise wird dies als vollständiger OAuth-Ablauf angefragt.
Sobald das Authentifizierungstoken erstellt wurde, ist es nicht möglich, es zu löschen.
Datenconnectors, die den automatisch generierten Stripe-App-Token verwenden, unterstützen keine Multi-Token-Funktionalität, da die Header auf einen Nur-Lese-Zustand gesperrt sind. Um Änderungen vorzunehmen, müssen Sie zuerst den Stripe-Token entfernen oder ersetzen.
Sobald ein Stripe-Token ausgewählt ist, können Sie keine neuen Schlüssel-Wert-Paare zum Abschnitt HTTP Headers hinzufügen.