امنیت ویجت: چرا باید دامنه‌های مجاز را تنظیم کنید

کد ویجت در صفحه سایت شماست، پس هر کسی می‌تواند آن را ببیند — از جمله شناسه ربات. این طراحی عمدی است: شناسه رمز نیست، فقط یک نشانی است. امنیت جای دیگری تأمین می‌شود.

دامنه‌های مجاز

مهم‌ترین تنظیم. فهرستی از دامنه‌هایی که اجازه دارند این ربات را جاسازی کنند. مرورگر هنگام درخواست، هدر Origin را می‌فرستد و سرور آن را با این فهرست می‌سنجد. اگر کسی کد شما را در سایت خودش بگذارد، ربات کار نمی‌کند.

اگر این فهرست خالی باشد، هر دامنه‌ای مجاز است — که فقط برای دوره تست منطقی است. پیش از انتشار حتماً دامنه خودتان را تنظیم کنید.

محدودیت نرخ

دو سطح محدودیت وجود دارد: به ازای هر بازدیدکننده و به ازای هر ربات. اولی جلوی کسی را می‌گیرد که می‌خواهد پشت سر هم پیام بفرستد؛ دومی سقفی برای کل مصرف یک پروژه می‌گذارد.

سهمیه ماهانه

فارغ از نرخ لحظه‌ای، هر پروژه سقف ماهانه پیام دارد. این عدد از بودجه هوش مصنوعی شما محافظت می‌کند: حتی اگر کسی شناسه را پیدا کند و بخواهد آن را مصرف کند، خسارت محدود و قابل پیش‌بینی است.

آنچه هرگز از این مسیر بیرون نمی‌رود

اندپوینت عمومی ویجت هیچ اطلاعات محرمانه‌ای برنمی‌گرداند: نه تاریخچه گفت‌وگوی دیگران، نه فهرست اسناد، نه تنظیمات حساب. فقط ظاهر ربات و پاسخ همان پرسش. این محدودیت عمدی است تا حتی در بدترین حالت، شناسه لو رفته چیزی جز امکان گفت‌وگو به کسی ندهد.