Políticas
Como funcionam as chaves, os domínios e os limites, o que permanece estável dentro de uma versão e o que é registrado quando um widget carrega no seu site.
As chaves de embed são criadas no console de embed com a sessão iniciada e um endereço de e-mail verificado; contas criadas com uma wallet cripto estão isentas. O Free, o Starter e o Pro permitem 2, 5 e 10 chaves. Uma chave é mostrada uma única vez, não expira, e revogá-la tem efeito no próximo carregamento. Passe-a como ?embed_key= (?api_key= continua funcionando); chaves da Data API e do MCP são recusadas com 403.
Cada carregamento com chave é verificado em relação aos domínios registrados na sua conta, lidos do Referer (ou Origin) da página que incorpora o widget. O host é convertido para minúsculas e o esquema, o caminho, a porta, um ponto final e um www. inicial são descartados; qualquer outro subdomínio precisa de uma entrada própria. O Free, o Starter e o Pro permitem 1, 3 e 10 domínios.
Um carregamento sem referrer, ou de um domínio não registrado, é recusado com 403 - mantenha a política de referrer padrão do navegador no seu iframe. Um domínio que você adiciona funciona na hora; remover um pode levar até 5 minutos.
Cada carregamento de página de um widget conta como uma solicitação, incluindo visitantes automatizados: o Free permite 10.000 por mês, o Starter 50.000 e o Pro 500.000. O mês é o mês civil em UTC no Free e começa no seu dia de cobrança nos planos pagos. Os widgets também funcionam sem chave, até 1.000 carregamentos por mês por visitante, somando todos os widgets sem chave em todos os sites.
Acima do limite, o widget mostra uma página de limite de uso (HTTP 429) no lugar da ferramenta até o próximo período; não há cobranças por excedente. Os upgrades são aplicados imediatamente; os downgrades e cancelamentos, no fim do período pago, e as chaves e domínios acima da franquia de um plano inferior continuam funcionando, embora você não possa adicionar mais.
O contrato são as URLs dos widgets em /{locale}/embed/ em qualquer um dos 27 idiomas, os seus parâmetros de consulta - embed_key, compact, theme=dark, e layout e visible nos widgets com seções - e as mensagens de altura bitculator-embed-resize. Quando o slug de uma moeda muda, a URL antiga do widget redireciona mantendo os seus parâmetros.
Os números refletem o momento do carregamento da página e não são atualizados ao vivo: os preços das moedas são recalculados a cada minuto e as taxas fiduciárias duas vezes por dia. Os widgets podem ser exibidos em frames por qualquer site e não são indexados pelos mecanismos de busca.
Isto nunca acontece dentro de uma versão:
layout e visible podem nomear.Isto pode acontecer a qualquer momento e é registrado no changelog:
A remoção de uma versão de widget ou a redução de um limite é anunciada no changelog e por e-mail a todos os titulares de chave com pelo menos seis meses de antecedência, conforme estabelecem os termos de serviço.
Cada widget traz um link "Powered by Bitculator" para a ferramenta correspondente em bitculator.com, em todos os planos. Ele deve permanecer visível e inalterado.
Para cada carregamento com chave, contamos a conta, a chave, o domínio que incorpora o widget, o widget e o período de cobrança, além de um total diário, e mantemos essas contagens por 12 meses. Os carregamentos sem chave são contados por domínio e widget sem o IP do visitante; o limite por visitante usa um hash com chave do IP que é descartado no fim do mês.
Os widgets não definem cookies e não registram nenhum service worker. Eles armazenam a disposição de seções do próprio visitante no navegador desse visitante e enviam as análises da própria Bitculator - uma visualização de página e medições de velocidade da página -, identificadas apenas por um hash que muda diariamente e mantidas por até 95 dias.
Se você acredita ter encontrado uma vulnerabilidade de segurança em bitculator.com, na Data API, no servidor MCP ou nos SDKs, envie um e-mail para contact@bitculator.com com a URL ou o endpoint afetado, os passos para reproduzir e o impacto que você observa. Você receberá uma resposta em até três dias úteis.
Por favor, mantenha o relato em sigilo até que esteja corrigido, não acesse nem altere dados que não sejam seus, e não execute ataques de negação de serviço nem varreduras automatizadas contra a produção. Relatos feitos de boa-fé sob estes termos não serão alvo de ação legal. Não há programa de recompensas pago; o crédito é dado mediante solicitação.
O mesmo contato está publicado em formato legível por máquina em /.well-known/security.txt (RFC 9116).
O status ao vivo dos componentes, os incidentes abertos e as interrupções dos últimos 30 dias estão na página de status e em /status.json.