Polityki
Jak działają klucze, domeny i limity, co pozostaje stabilne w obrębie wersji i co jest rejestrowane, gdy widżet ładuje się na Twojej stronie.
Klucze embed tworzy się w konsoli embed po zalogowaniu na konto ze zweryfikowanym adresem e-mail; konta założone za pomocą portfela krypto są z tego zwolnione. Free, Starter i Pro pozwalają na 2, 5 i 10 kluczy. Klucz jest pokazywany raz, nie wygasa, a jego unieważnienie działa od następnego załadowania. Przekaż go jako ?embed_key= (?api_key= nadal działa); klucze Data API i MCP są odrzucane z 403.
Każde załadowanie z kluczem jest sprawdzane względem domen zarejestrowanych na Twoim koncie, odczytanych z nagłówka Referer (lub Origin) osadzającej strony. Host jest zamieniany na małe litery, a schemat, ścieżka, port, końcowa kropka i początkowe www. są odrzucane; każda inna subdomena wymaga własnego wpisu. Free, Starter i Pro pozwalają na 1, 3 i 10 domen.
Załadowanie bez referera lub z niezarejestrowanej domeny jest odrzucane z 403 - zachowaj w iframe domyślną politykę referera przeglądarki. Dodana domena działa od razu; usunięcie domeny może zacząć działać dopiero po maksymalnie 5 minutach.
Każde załadowanie strony z widżetem liczy się jako jedno żądanie, łącznie z automatycznymi odwiedzającymi: Free pozwala na 10 000 miesięcznie, Starter na 50 000, a Pro na 500 000. Miesiąc to miesiąc kalendarzowy w UTC w planie Free, a w planach płatnych jest liczony od Twojego dnia rozliczenia. Widżety działają też bez klucza - do 1000 załadowań miesięcznie na odwiedzającego dla wszystkich widżetów bez klucza na wszystkich stronach.
Po przekroczeniu limitu widżet do następnego okresu pokazuje zamiast narzędzia stronę limitu użycia (HTTP 429); nie ma opłat za przekroczenie. Podwyższenia planu działają natychmiast, a obniżenia i anulowania - na koniec opłaconego okresu; klucze i domeny ponad przydział niższego planu nadal działają, ale nie można dodać nowych.
Kontrakt to adresy URL widżetów pod /{locale}/embed/ w dowolnym z 27 języków, ich parametry zapytania - embed_key, compact, theme=dark oraz layout i visible w widżetach z sekcjami - oraz komunikaty o wysokości bitculator-embed-resize. Gdy slug monety się zmienia, jej stary URL widżetu przekierowuje z zachowaniem Twoich parametrów.
Liczby odpowiadają chwili załadowania strony i nie aktualizują się na żywo: ceny monet są przeliczane co minutę, a kursy walut fiat dwa razy dziennie. Widżety może osadzać w ramce dowolna strona i nie są indeksowane przez wyszukiwarki.
To nigdy nie zdarza się w obrębie wersji:
layout i visible.To może zdarzyć się w każdej chwili i jest odnotowywane w dzienniku zmian:
Usunięcie wersji widżetu lub obniżenie limitu jest ogłaszane w dzienniku zmian oraz e-mailem do każdego właściciela klucza co najmniej sześć miesięcy wcześniej, zgodnie z warunkami korzystania z usługi.
Każdy widżet w każdym planie zawiera link „Powered by Bitculator” do odpowiedniego narzędzia na bitculator.com. Musi on pozostać widoczny i niezmieniony.
Dla każdego załadowania z kluczem liczymy konto, klucz, osadzającą domenę, widżet i okres rozliczeniowy, a także sumę dzienną, i przechowujemy te liczniki przez 12 miesięcy. Załadowania bez klucza są liczone według domeny i widżetu bez IP odwiedzającego; limit na odwiedzającego używa hasha IP z kluczem, który jest usuwany na koniec miesiąca.
Widżety nie ustawiają ciasteczek i nie rejestrują service workera. Przechowują własny układ sekcji odwiedzającego w przeglądarce tego odwiedzającego i wysyłają własną analitykę Bitculator - wyświetlenie strony i pomiary szybkości strony - identyfikowaną wyłącznie hashem zmieniającym się codziennie i przechowywaną do 95 dni.
Jeśli uważasz, że udało Ci się znaleźć lukę w zabezpieczeniach bitculator.com, Data API, serwera MCP lub SDK, napisz na contact@bitculator.com, podając dotknięty URL lub endpoint, kroki odtworzenia i zaobserwowany wpływ. Odpowiemy w ciągu trzech dni roboczych.
Prosimy o zachowanie zgłoszenia w poufności do czasu naprawy, o niesięganie do cudzych danych ani ich niezmienianie oraz o nieprzeprowadzanie ataków DoS ani automatycznego skanowania środowiska produkcyjnego. Zgłoszenia dokonane w dobrej wierze na tych warunkach nie spotkają się z krokami prawnymi. Nie prowadzimy płatnego programu bug bounty; na życzenie przyznajemy uznanie autorstwa.
Ten sam kontakt jest opublikowany w formie do odczytu maszynowego pod /.well-known/security.txt (RFC 9116).
Bieżący status komponentów, otwarte incydenty i awarie z ostatnich 30 dni znajdziesz na stronie statusu oraz pod /status.json.