Sicurezza e accessi
Pannello riservato agli amministratori.
Il pannello Amministrazione → Sicurezza raccoglie le impostazioni relative alla privacy del widget, all'autenticazione degli operatori e alla protezione degli accessi.
Prerequisiti
- Permesso di amministrazione sicurezza.
- Per LDAP/Active Directory o SSO, i parametri di connessione forniti dal proprio referente IT.
Modalità privacy del widget
Il widget può richiedere il consenso al trattamento dei dati personali secondo tre modalità, configurabili per singolo widget nel relativo wizard (vedi Widget: creazione, passo Configurazioni):
| Modalità | Comportamento |
|---|---|
| Nessuna | Nessun disclaimer mostrato al visitatore |
| Implicita | Il disclaimer è mostrato ma l'avvio della conversazione vale come accettazione |
| Esplicita | Il visitatore deve accettare esplicitamente prima di poter scrivere |
Autenticazione LDAP / Active Directory
Consente di delegare l'autenticazione degli operatori a una directory LDAP o Active Directory esistente: URL del server, dominio, Search Base e Search Filter, DN e password dell'utenza di binding. Al primo accesso di un utente riconosciuto dalla directory viene creato automaticamente il corrispondente account operatore (vedi Operatori).
Single Sign-On (OAuth2/OIDC)
Consente il login tramite un provider di identità esterno basato su OAuth2/OpenID Connect, con supporto opzionale a PKCE. Come per LDAP, l'account operatore viene creato automaticamente al primo accesso.
Dopo il logout la console chiede al provider di tornare all'origine della pagina, per esempio https://chat.example.com. Se la console è pubblicata sotto un sotto percorso, per esempio https://www.example.com/chat/, l'indirizzo registrato sul client del provider è quello completo e il provider rifiuterebbe il ritorno con un errore di redirect non valido: in questo caso la configurazione oauth2.logoutRedirectUrl dell'installazione, impostabile anche per singolo tenant, indica l'indirizzo completo a cui tornare. Se non è valorizzata resta l'origine della pagina. Disponibile dalla versione 1.10.11.
Con LDAP/Active Directory o SSO attivo, la creazione manuale di nuovi operatori dal pannello Operatori è disabilitata.
Domini autorizzati a ospitare il widget
L'elenco dei domini autorizzati determina su quali siti il widget può essere caricato ed eseguito; un tentativo di caricamento da un dominio non presente in elenco viene bloccato. Lo stesso elenco è raggiungibile anche dal tab Generali di Configurazioni generali.
Chiavi API
Le chiavi API consentono l'accesso alle API REST di Askme Chat da applicativi esterni tramite un header dedicato. Da questo pannello è possibile generare, attivare, disattivare, rinominare ed eliminare le chiavi.
- Selezionare "Nuova chiave API" e assegnare un nome descrittivo.
- Salvare: la chiave viene generata e mostrata.
La chiave viene mostrata per intero solo al momento della creazione. Conservarla in un luogo sicuro: se persa, è necessario generarne una nuova.
Per l'uso della chiave nelle chiamate API, vedere Autenticazione API.
Protezione del login
La piattaforma applica rate limiting e verifica CAPTCHA sul modulo di login per contenere i tentativi di accesso automatizzati (brute-force). Non sono previste, allo stato attuale, modalità di autenticazione a due fattori.
In scenari di deployment specifici concordati con il fornitore sono disponibili anche l'autenticazione tramite reverse proxy (pre-autenticazione a livello di container applicativo) e il collegamento a un sistema di identità centralizzato Askme: si tratta di configurazioni non gestite da questo pannello.
Problemi comuni
| Problema | Causa | Soluzione |
|---|---|---|
| Il widget non si carica su un dominio noto | Dominio non presente nell'elenco autorizzato | Aggiungere il dominio all'elenco domini autorizzati |
| Gli operatori LDAP/SSO non riescono ad accedere | Parametri di connessione errati o utenza di binding non valida | Verificare URL server, Search Base/Filter e credenziali di binding |
| Una chiave API restituisce errore di autenticazione | Chiave disattivata, eliminata o non inviata nell'header corretto | Verificare stato della chiave e header utilizzato nella chiamata |