Безопасность и лицензирование

Scalarcut создан для магазинов с реальным оформлением заказа, поэтому виджет жёстко ограничен вашими доменами и вашим каталогом.

Ключи виджета привязаны к вашим доменам

Ваш ключ виджета загружается только на тех origin, которые вы зарегистрировали в аккаунте. Ключ, скопированный на другой домен, просто не рендерится — виджет нельзя встроить на сайт, который вам не принадлежит, и утёкший ключ не является рабочим встраиванием где-либо ещё.

Когда вы добавляете магазин или новый домен, добавьте его в список origin аккаунта. Изменений в коде не требуется.

Токены ограничены и ротируются

Виджет и API используют подписанные токены, которые несут ваш enterprise id, id ключа виджета и каталог, к которому они могут обращаться. Токены истекают через семь дней и выдаются виджетом в момент загрузки, поэтому вашему серверу не нужно хранить долгоживущие секреты.

• Токен встраивания ограничен одним предприятием и каталогом.
• Вызовы cart intent и estimate проверяют токен до обращения к данным каталога.
• Использование записывается по каждому событию, поэтому каждую смету и добавление в корзину можно отнести к конкретному магазину.

HTTPS везде

Виджет, SDK и API отдаются по HTTPS, а URL изображений каталога принимаются только как публичный HTTPS. В проде родительская страница должна быть по HTTPS, соответствуя защищённому фрейму виджета.

Защита фрейма

Ответ виджета задаёт frame-ancestors равными вашим зарегистрированным origin. Браузеры применяют это через заголовок Content-Security-Policy, поэтому только ваши домены могут хостить iframe — ни один другой сайт не может встроить планировщик, даже с правдоподобным URL.

Проверки origin сообщений

SDK проверяет origin каждого postMessage перед действием, в обе стороны. Страница вне ваших зарегистрированных origin не может отправлять команды виджету, а виджет не отдаст строки корзины ненадёжному слушателю.

Полномочия оформления заказа остаются у вас

Безопасность означает и то, что виджет ничего не может сделать с деньгами. Он не хранит платёжные данные, данные клиентов и не может разместить заказ. Он распознаёт SKU и количества; ваш магазин — с вашей аутентификацией, остатками и платёжным провайдером — единственное место, где создаётся заказ.

Ротация и отзыв

Ключи виджета можно ротировать или отозвать из панели в любой момент. Отозванный ключ немедленно перестаёт обслуживаться, а его токены перестают проходить проверку на следующем запросе.