Políticas
Como funcionam as chaves, os domínios e os limites, o que permanece estável dentro de uma versão e o que é registrado quando um widget carrega no seu site.
As chaves de embed são criadas no console de embed com a sessão iniciada e um endereço de e-mail verificado; contas criadas com uma wallet cripto estão isentas. O Free, o Starter e o Pro permitem 2, 5 e 10 chaves. Uma chave é mostrada uma única vez, não expira, e revogá-la tem efeito no próximo carregamento. Passe-a como ?embed_key= (?api_key= continua funcionando); chaves da Data API e do MCP são recusadas com 403.
Cada carregamento com chave é verificado em relação aos domínios registrados na sua conta, lidos do Referer (ou Origin) da página que incorpora o widget. O host é convertido para minúsculas e o esquema, o caminho, a porta, um ponto final e um www. inicial são descartados; qualquer outro subdomínio precisa de uma entrada própria. O Free, o Starter e o Pro permitem 1, 3 e 10 domínios.
Um carregamento sem referrer, ou de um domínio não registrado, é recusado com 403 - mantenha a política de referrer padrão do navegador no seu iframe. Um domínio que você adiciona funciona na hora; remover um pode levar até 5 minutos.
Cada carregamento de página de um widget conta como uma solicitação, incluindo visitantes automatizados: o Free permite 10.000 por mês, o Starter 50.000 e o Pro 500.000. O mês é o mês civil em UTC no Free e começa no seu dia de cobrança nos planos pagos. Um mesmo IP de visitante pode carregar os widgets de uma chave até 300 vezes por hora cheia (UTC); os carregamentos seguintes desse IP recebem a página de limite de uso (HTTP 429) até a próxima hora e não contam para o seu plano. Os widgets também funcionam sem chave, até 1.000 carregamentos por mês por visitante, somando todos os widgets sem chave em todos os sites.
Acima do limite, o widget mostra uma página de limite de uso (HTTP 429) no lugar da ferramenta até o próximo período; não há cobranças por excedente. Os upgrades são aplicados imediatamente; os downgrades e cancelamentos, no fim do período pago, e as chaves e domínios acima da franquia de um plano inferior continuam funcionando, embora você não possa adicionar mais.
O contrato são as URLs dos widgets em /{locale}/embed/ em qualquer um dos 27 idiomas, os seus parâmetros de consulta - embed_key, compact, theme=dark, e layout e visible nos widgets com seções - e as mensagens de altura bitculator-embed-resize. Quando o slug de uma moeda muda, a URL antiga do widget redireciona mantendo os seus parâmetros.
Os números refletem o momento do carregamento da página e não são atualizados ao vivo: os preços das moedas são recalculados a cada minuto e as taxas fiduciárias duas vezes por dia. Os widgets podem ser exibidos em frames por qualquer site e não são indexados pelos mecanismos de busca.
Isto nunca acontece dentro de uma versão:
layout e visible podem nomear.Isto pode acontecer a qualquer momento e é registrado no changelog:
A remoção de uma versão de widget ou a redução dos carregamentos, domínios ou chaves que um plano tem é anunciada no changelog e por e-mail a todos os titulares de chave com pelo menos seis meses de antecedência, conforme estabelecem os termos de serviço. Limites que coíbem o abuso por parte de um único visitante, e deixam inalterados os carregamentos mensais de um plano, podem entrar em vigor imediatamente e são registrados no changelog.
Cada widget traz um link "Powered by Bitculator" para a ferramenta correspondente em bitculator.com, em todos os planos. Ele deve permanecer visível e inalterado.
Para cada carregamento com chave, contamos a conta, a chave, o domínio que incorpora o widget, o widget e o período de cobrança, além de um total diário, e mantemos essas contagens por 12 meses. Os carregamentos sem chave são contados por domínio e widget sem o IP do visitante; o limite por visitante usa um hash com chave do IP que é descartado no fim do mês. O teto por hora por visitante dos carregamentos com chave usa o mesmo hash e o mantém por até uma hora.
Os widgets não definem cookies e não registram nenhum service worker. Eles armazenam a disposição de seções do próprio visitante no navegador desse visitante e enviam as análises da própria Bitculator - uma visualização de página e medições de velocidade da página -, identificadas apenas por um hash que muda diariamente e mantidas por até 95 dias.
Se você acredita ter encontrado uma vulnerabilidade de segurança em bitculator.com, na Data API, no servidor MCP ou nos SDKs, envie um e-mail para contact@bitculator.com com a URL ou o endpoint afetado, os passos para reproduzir e o impacto que você observa. Você receberá uma resposta em até três dias úteis.
Por favor, mantenha o relato em sigilo até que esteja corrigido, não acesse nem altere dados que não sejam seus, e não execute ataques de negação de serviço nem varreduras automatizadas contra a produção. Relatos feitos de boa-fé sob estes termos não serão alvo de ação legal. Não há programa de recompensas pago; o crédito é dado mediante solicitação.
O mesmo contato está publicado em formato legível por máquina em /.well-known/security.txt (RFC 9116).
O status ao vivo dos componentes, os incidentes abertos e as interrupções dos últimos 30 dias estão na página de status e em /status.json.