Data connectors usan APIs para conectarse a sistemas externos y obtener y/o actualizar datos existentes. Por eso es importante tener en cuenta algunos aspectos al configurar Data connectors en Intercom.

Si utilizas APIs de terceros (no desarrolladas internamente) con Data connectors en Intercom, probablemente tengas poco o ningún control sobre su funcionamiento o la respuesta que recibes de una solicitud.

Dicho esto, la guía a continuación sigue siendo útil, aunque algunas secciones pueden no aplicarse completamente a tu caso.

Nuestros ingenieros han compilado una lista de puntos a tener en cuenta al diseñar o modificar tus APIs existentes para que funcionen con Fin y Data connectors en Intercom.

Primero, recomendamos encarecidamente que actives la seguridad del Messenger con JWTs. Proteger tu Messenger es el control de seguridad más importante para configurar en tu integración.

También te permite firmar múltiples atributos mediante nuestra API de JavaScript, para que puedas enviar datos sobre tus users de forma segura a través del Messenger en lugar de usar otra integración, por ejemplo: REST API.

Para aprovechar los beneficios de enviar datos de forma segura, puedes proteger tus atributos contra actualizaciones inseguras del Messenger y entonces cualquier JWT enviado, que consideramos una fuente segura, seguirá actualizando ese campo en el user. Esto es crucial para Data connectors, cuando el Data connector muestra datos sensibles o manipula datos.

Por ejemplo, si tu Data connector hace una solicitud a la API usando “GET /accounts/<account_id>/invoices” entonces quieres asegurarte de que account_id esté protegido para que el user no pueda simplemente enumerar account_ids y recopilar datos. Sin embargo, si tu Data connector es "GET /pizza-order-status/<order_id>" entonces puede que no te importe la confiabilidad de "order_id" ni si esta información se mostró a la persona correcta.

Además, debes asegurarte de que el atributo que tu Data connector usa para identificar de forma única a tus users (correo electrónico, por ejemplo) sea confiable. Esto significa que debes confiar en la fuente de los atributos identificativos de tu Data connector. Por ejemplo, si tu Data connector identifica al user por user_id, la verificación de identidad es firmar el atributo user_id, o si tu Data connector identifica al user por correo electrónico u otro atributo, entonces ese atributo está protegido y no se recopila del End User sin alguna verificación.

Esto evita que actores malintencionados puedan, por ejemplo, proporcionar el correo electrónico de otra persona y acceder a un Data connector como “Obtener extractos bancarios por correo electrónico”, lo que expondría datos financieros sensibles.

Cuando sea posible, sugerimos que no uses el correo electrónico como identificador principal para obtener datos de tus users, sino algo más aleatorio como un ID de user único y no adivinable.

Para realizar la verificación de identidad en leads, nuestro equipo está trabajando en una función de Contraseña de un solo uso (OTP) que te ayudará a verificar la identidad de alguien si contacta a tu soporte como lead. Si te interesa esta función, no dudes en contactar a nuestro equipo de Soporte vía Messenger y estarán encantados de ayudarte a activarla.

También debes asegurarte de que el user no pueda realizar Data connectors para los que no está autorizado, por ejemplo, cancelar el pedido de otra persona conociendo el ID del pedido. Esta lógica no se maneja dentro de Intercom y tú o tu equipo de seguridad deben realizar una evaluación de riesgos y desarrollar métodos adecuados para manejar la autenticación y autorización.

Intercom actualmente soporta tokens estáticos, tokens HTTP y OAuth (beta cerrada, contáctanos vía Messenger para más información). Sea cual sea el token que uses, es tu responsabilidad mantenerlo en secreto y actualizarlo si se filtra en algún lugar lo antes posible. Como buena práctica, recomendamos usar tokens OAuth siempre que sea posible.

Idealmente, la API solo debería devolver los datos necesarios para tu Workflow. Sin embargo, esto puede ser poco realista y la API podría devolver una buena cantidad de datos que en realidad no se requieren para llevar a cabo el Workflow donde se usa el Data connector.

Si estás construyendo APIs desde cero para usarlas exclusivamente con Data connectors y Fin Workflows, puedes:

Algunas consideraciones que deben incluirse al decidir qué y cuántos datos devuelve tu API incluyen:

Además, siempre debes eliminar la posibilidad de que los users proporcionen datos mal formados o simplemente escriban cosas.

Por ejemplo, no deberías pedir al user que escriba su ID de cuenta, sino mostrarle sus IDs de cuenta (basados en un identificador conocido y seguro) y dejar que elija de una lista desplegable. Más información sobre cómo recopilar datos de users se encuentra aquí.