Politiques
Comment fonctionnent les clés, les domaines et les limites, ce qui reste stable au sein d'une version, et ce qui est consigné lorsqu'un widget se charge sur votre site.
Les clés embed se créent dans la console embed en étant connecté avec une adresse e-mail vérifiée ; les comptes créés avec un wallet crypto en sont exemptés. Free, Starter et Pro autorisent respectivement 2, 5 et 10 clés. Une clé est affichée une seule fois, n'expire pas, et sa révocation prend effet au chargement suivant. Transmettez-la sous la forme ?embed_key= (?api_key= fonctionne toujours) ; les clés Data API et MCP sont refusées avec 403.
Chaque chargement avec clé est vérifié par rapport aux domaines enregistrés sur votre compte, lus depuis le Referer (ou l'Origin) de la page d'intégration. L'hôte est mis en minuscules, et le schéma, le chemin, le port, un point final et un www. initial sont supprimés ; tout autre sous-domaine nécessite sa propre entrée. Free, Starter et Pro autorisent respectivement 1, 3 et 10 domaines.
Un chargement sans référent, ou provenant d'un domaine non enregistré, est refusé avec 403 - conservez la politique de référent par défaut du navigateur sur votre iframe. Un domaine que vous ajoutez fonctionne immédiatement ; la suppression d'un domaine peut mettre jusqu'à 5 minutes à prendre effet.
Chaque chargement de page d'un widget compte comme une requête, visiteurs automatisés compris : Free autorise 10 000 chargements par mois, Starter 50 000 et Pro 500 000. Le mois est le mois calendaire en UTC sur Free et court à partir de votre jour de facturation sur les forfaits payants. Les widgets fonctionnent aussi sans clé, jusqu'à 1 000 chargements par mois et par visiteur sur l'ensemble des widgets sans clé de tous les sites.
Au-delà de la limite, le widget affiche une page de limite d'utilisation (HTTP 429) à la place de l'outil jusqu'à la période suivante ; aucun dépassement n'est facturé. Les montées en gamme s'appliquent immédiatement, les descentes en gamme et les résiliations à la fin de la période payée ; les clés et domaines au-delà de l'allocation d'un forfait inférieur continuent de fonctionner, mais vous ne pouvez plus en ajouter.
Le contrat comprend les URL de widget sous /{locale}/embed/ dans chacune des 27 langues, leurs paramètres de requête - embed_key, compact, theme=dark, ainsi que layout et visible sur les widgets à sections - et les messages de hauteur bitculator-embed-resize. Lorsque le slug d'un coin change, son ancienne URL de widget redirige en conservant vos paramètres.
Les chiffres sont ceux du chargement de la page et ne se mettent pas à jour en direct : les prix des coins sont recalculés chaque minute et les taux fiat deux fois par jour. Les widgets peuvent être intégrés par n'importe quel site et ne sont pas indexés par les moteurs de recherche.
Ceci n'arrive jamais au sein d'une version :
layout et visible peuvent nommer.Ceci peut arriver à tout moment et est consigné dans le changelog :
La suppression d'une version de widget ou l'abaissement d'une limite est annoncé dans le changelog et par e-mail à chaque titulaire de clé au moins six mois à l'avance, comme le prévoient les conditions d'utilisation.
Chaque widget porte un lien « Powered by Bitculator » vers l'outil correspondant sur bitculator.com, sur tous les forfaits. Il doit rester visible et inchangé.
Pour chaque chargement avec clé, nous comptabilisons le compte, la clé, le domaine d'intégration, le widget et la période de facturation, plus un total quotidien, et conservons ces décomptes pendant 12 mois. Les chargements sans clé sont comptés par domaine et par widget, sans l'IP du visiteur ; la limite par visiteur utilise un hachage à clé de l'IP, supprimé à la fin du mois.
Les widgets ne déposent aucun cookie et n'enregistrent aucun service worker. Ils stockent la disposition des sections propre à un visiteur dans le navigateur de ce visiteur, et envoient les statistiques d'audience propres à Bitculator - une page vue et des mesures de vitesse de page - identifiées uniquement par un hachage qui change chaque jour et conservées jusqu'à 95 jours.
Si vous pensez avoir trouvé une faille de sécurité dans bitculator.com, la Data API, le serveur MCP ou les SDK, écrivez à contact@bitculator.com en indiquant l'URL ou l'endpoint concerné, les étapes pour reproduire et l'impact constaté. Vous recevrez une réponse sous trois jours ouvrés.
Merci de garder le rapport confidentiel jusqu'à la correction, de ne pas accéder à des données qui ne sont pas les vôtres ni les modifier, et de ne lancer ni déni de service ni scan automatisé contre la production. Les signalements faits de bonne foi dans ces conditions ne feront l'objet d'aucune poursuite. Il n'existe pas de programme de bug bounty rémunéré ; un crédit est accordé sur demande.
Le même contact est publié sous forme lisible par machine sur /.well-known/security.txt (RFC 9116).
Le statut en direct des composants, les incidents en cours et les pannes des 30 derniers jours sont sur la page de statut et sur /status.json.