OAuth e Client Machine

Integrazioni sicure macchina-a-macchina: credenziali del cliente, ambiti, segreti hashati, rotazione, quote per integrazione e registri di audit.

Cos'è questa funzionalità?

Non tutti gli utenti della tua piattaforma sono persone sedute a una tastiera. Spesso, i "clienti" più importanti sono altri sistemi software: un CRM che estrae dati delle conversazioni, un servizio backend che invia messaggi automatici, una pipeline di dati che esporta analisi. Queste connessioni macchina-a-macchina sono gestite tramite OAuth e credenziali API: un modo sicuro per i sistemi esterni di autenticarsi e interagire programmaticamente con la tua piattaforma.

Perché è importante per la tua azienda

Le integrazioni API sono una parte fondamentale degli accordi aziendali. Quando un grande cliente desidera collegare la tua piattaforma ai propri strumenti interni, ha bisogno di un modo sicuro, auditabile e gestibile per farlo. Questa funzionalità rende tutto ciò possibile.

Abilita le integrazioni. I clienti possono collegare la tua piattaforma al loro stack tecnologico esistente senza intervento manuale per ogni richiesta.
Sicurezza che puoi auditare. Ogni connessione ha le proprie credenziali. Se una viene compromessa, revoci solo quella — non tutto. La traccia di audit mostra esattamente cosa ha fatto ogni connessione.
Limiti di utilizzo per integrazione. Puoi limitare quante richieste una data integrazione può fare al giorno, proteggendoti da picchi di costo imprevisti causati da uno script fuori controllo o da uno strumento di terze parti mal configurato.
Risposta agli incidenti fluida. Se la chiave API di un cliente viene divulgata, il processo per revocarla, emettere nuove credenziali e notificare il cliente è semplificato e ben documentato — minimizzando danni e tempi di inattività.

Come funziona (senza gergo tecnico)

Un amministratore registra una nuova integrazione nel pannello di amministrazione, dandole un nome e definendo cosa è autorizzata a fare (i suoi ambiti) e quante richieste può effettuare.
Il sistema genera credenziali — un ID client e un segreto. Il segreto viene mostrato esattamente una volta, poi memorizzato solo come un hash sicuro (come una password — nemmeno la piattaforma può vederlo di nuovo dopo la creazione).
Il sistema esterno si autentica utilizzando quelle credenziali per ottenere un token di accesso limitato nel tempo, che include in ogni richiesta.
Ogni richiesta di token è registrata — quale integrazione, da quale indirizzo IP, per quale organizzazione. Questo crea una traccia di audit completa.
L'utilizzo è tracciato in tempo reale. Quando un'integrazione si avvicina al suo limite giornaliero, inizia a ricevere intestazioni di avviso. Quando raggiunge il limite, le richieste vengono rifiutate con un chiaro messaggio di errore anziché fallire silenziosamente.

Rotazione delle credenziali (mantenere le cose sicure nel tempo)

Le credenziali API non dovrebbero vivere per sempre. La piattaforma supporta la rotazione delle credenziali — generando nuove credenziali mentre offre al proprietario dell'integrazione una breve finestra per aggiornare i propri sistemi, quindi invalidando le vecchie credenziali. Questo è importante per:

Igiene di sicurezza di routine (rotazione delle credenziali secondo un programma)
Recupero post-incidente (sostituzione immediata delle credenziali compromesse)
Offboarding (revoca permanente dell'accesso quando una partnership termina)

Cosa puoi fare come amministratore

Creare, visualizzare e revocare integrazioni dal dashboard di amministrazione
Vedere un registro delle attività recenti per integrazione (quando si è autenticata, quante richieste ha effettuato)
Ruotare le credenziali con un flusso UI guidato
Impostare quote di richieste giornaliere per integrazione
Disabilitare immediatamente qualsiasi integrazione con un solo clic se qualcosa sembra sospetto

Cosa aspettarsi dalla roadmap

Il team sta costruendo:

Memorizzazione delle credenziali hash e un'interfaccia utente per la rotazione delle credenziali (stimato 2 settimane)
Applicazione delle quote per integrazione con tracciamento dell'utilizzo in tempo reale (stimato 3 settimane)

Una volta attive, queste funzionalità daranno a te e ai tuoi clienti la visibilità e il controllo necessari per integrazioni sicure di livello enterprise.