Sécuriser votre widget avec la Liste Blanche (Whitelist)

Protégez votre chatbot contre l’utilisation non autorisée et le vol de crédits en limitant son affichage à vos propres sites web.

Introduction

Le code d’intégration de votre widget (le snippet JavaScript) contient une clé d’API publique. Sans protection, n’importe qui pourrait copier ce code depuis votre site et l’installer sur le sien. Cela aurait pour conséquence de consommer vos quotas de messages et d’exposer vos données à un public non désiré.

Pour contrer cela, DoxyChat utilise un système de Liste Blanche de domaines (Origin Allow). Le chatbot ne fonctionnera que sur les adresses web que vous aurez explicitement autorisées.

Procédure de configuration

1. Rendez-vous dans l’onglet Sécurité (ou Paramètres) de votre chatbot.
2. Localisez la section Domaines Autorisés (Whitelist).
3. Cliquez sur le champ de saisie pour ajouter un domaine.
4. Saisissez l’URL de votre site web.
5. Appuyez sur “Entrée” ou cliquez sur Ajouter pour valider la ligne.
6. N’oubliez pas d’Enregistrer les modifications.

Bonnes pratiques de formatage (Important)

Pour que la sécurité fonctionne correctement, les adresses doivent être renseignées avec précision :

• Incluez le protocole : Commencez toujours par https:// (ou http:// pour les environnements de test).
• Attention aux sous-domaines : https://monsite.com et https://www.monsite.com sont considérés comme deux sites différents. Pensez à ajouter les deux si votre site est accessible via ces deux adresses.
• Pas de barre oblique à la fin : Retirez le / final.
  • ✅ Correct : https://www.masociete.com
  • ❌ Incorrect : https://www.masociete.com/
• Ne mettez pas les pages spécifiques : Autorisez le domaine racine, pas les pages individuelles (pas de https://monsite.com/contact).

Dépannage et FAQ

J’ai installé le code mais la bulle de chat n’apparaît pas. C’est le symptôme numéro un d’un domaine manquant dans la liste blanche. Ouvrez la console de votre navigateur (F12) : si vous voyez une erreur “CORS” ou “403 Forbidden / Origine non autorisée”, cela signifie que vous devez ajouter l’URL actuelle de votre site dans les paramètres de sécurité de DoxyChat.

Que se passe-t-il si je laisse la liste vide ? Par défaut, lors de la création du bot, si la liste est vide, le widget est considéré comme “ouvert à tous” pour faciliter vos premiers tests. Dès que vous ajoutez un premier domaine, le verrouillage de sécurité s’active automatiquement.