В этой инструкции Разделов: 6
Аккаунт и команда
- Уникальный пароль для каждого пользователя
- Отдельные сотрудники вместо общего аккаунта
- Минимально достаточная роль
- Проверка и завершение активных сессий
- Немедленный отзыв доступа после увольнения
Секреты интеграций
Публичный ID виджета можно размещать в HTML. Telegram token, пароли, коды подтверждения, ключи API и секреты окружения публиковать нельзя.
Каналы
- Точные production-origin для виджета
- Отдельные тестовые домены
- Закрытый Telegram и allow-list для внутренних сценариев
- Проверка получателей уведомлений и заявок
Документы и данные
Не загружайте лишние персональные или чувствительные сведения. Для регулируемых данных заранее определите правовое основание, срок хранения, доступ сотрудников и удаление.
Минимизировать данные
Разделить доступ
Зафиксировать срок хранения
Подготовить процедуру удаления
MCP и внешние интеграции
Подключайте MCP через OAuth только к своему аккаунту, выдавайте минимальные разрешения и отзывайте неиспользуемые подключения. Секреты календаря и webhook-систем не передавайте в обычные сообщения.
- Проверять окружение перед изменениями
- Не давать лишние scopes
- Использовать HTTPS для webhooks
- Проверять журнал доставок
Телефон и помощник кабинета
- Устанавливайте Android APK только из официального каталога 9AI
- Проверяйте 9ai.ru при входе из приложения
- Отзывайте потерянные устройства в списке сеансов
- Сверяйте параметры чувствительного действия помощника перед подтверждением
- Не передавайте пароли и токены в чат