Hoe dit veilig blijft

Shopify-tokens

• Het toegangstoken van uw winkel blijft op de server. Het gaat nooit naar de browser en staat nooit in een URL.
• Tokens worden automatisch vernieuwd via de token exchange van Shopify, en een aanroep die als onbevoegd terugkomt wordt eenmaal opnieuw geprobeerd met een vers token in plaats van stil te falen.
• Verwijderen van de app trekt de Shopify-toegang in. Aiders verwerkt de verwijdermelding om de winkel uit te schakelen; webhookbezorging en lopende taken worden afzonderlijk afgehandeld.
• Fouten bij tokenvernieuwing en authenticatie worden vastgelegd voor onderzoek. Bezorging van waarschuwingen hangt af van de ingestelde monitoringverbindingen.

Scheiding tussen winkels

Winkelgegevens zijn per tenant afgebakend. Toegang vereist een geauthenticeerd winkellidmaatschap of een bevoegde platformsupportrol. Gedeelde account- en platformgegevens hebben afzonderlijke toegangsregels.

De applicatie dwingt die afbakening af, en row level security staat aan in de database voor de tabellen die het dashboard rechtstreeks leest.

De controle op kennis

De agent kan alleen citeren uit een kennisbank die van uw winkel is. Alles wat van uw site of uit uw catalogus wordt opgehaald, komt eerst in een wachtrij te staan als pending, en zolang een item pending is wordt het nooit geïndexeerd en nooit gevonden. Een mens publiceert het of wijst het af.

Een afgewezen item blijft bewaard als afgewezen in plaats van verwijderd, zodat de volgende ronde niet hetzelfde opnieuw voorstelt.

Grenzen aan uitgaven

De grenzen die voorkomen dat een agent duur wordt, staan in de code en niet in een prompt. Met een prompt valt te onderhandelen.

• Een terugbetaaltrap. Een volledige terugbetaling wordt geweigerd zolang de goedkopere treden niet gelopen zijn.
• Een geldplafond per winkel. Daarboven wordt nooit automatisch uitbetaald, maar komt het verzoek in de rij voor een mens.
• Geen tweede vergoeding op dezelfde bestelling, en geen extra geld naar een klant met een recente chargeback.
• Sandboxscenario’s gebruiken afzonderlijke testgegevens. Uitdrukkelijk toegestane playgroundtests op echte Shopify-orders kunnen echte acties uitvoeren en zijn geen sandbox zonder gevolgen.

Wie erbij kan

De eigenaar is momenteel de enige productiebeheerder en heeft multifactorauthenticatie bevestigd voor Shopify, GitHub, Cloudflare, Supabase en het operationele e-mailaccount. Servicecredentials blijven beperkt tot de backend.

Wat wij niet beweren

Wij zijn nog niet gelanceerd en zijn liever eerlijk dan indrukwekkend. Wij hebben geen SOC 2-rapport en geen ISO 27001-certificaat. Wij hebben geen penetratietest laten uitvoeren. Wij beloven geen beschikbaarheidspercentage en wij beweren niet dat uw gegevens binnen de EU blijven, want een deel van onze leveranciers zit in de Verenigde Staten.

Verandert daar iets aan, dan staat dat hier, met de datum waarop het veranderde.

Een kwetsbaarheid melden

Mail support@aiders.app met wat u gevonden heeft en hoe. Een mens leest het en antwoordt binnen een werkdag.

Test niet op de winkel van een echte winkelier en niet op gegevens die niet van u zijn. Wij ondernemen geen juridische stappen tegen onderzoek dat te goeder trouw is gedaan en eerst aan ons is gemeld. Er is nog geen beloningsprogramma, en als dat er komt staat het hier.