允许域名
聊天窗只会在域名属于站点允许域名的页面上加载。这样别人复制了你的代码放到其他网站上，也用不了你的额度。
- 把访客会用到的域名都加上：主域名、
www、商城子域名、单独的结算域名。 - 本地测试时加
localhost，之后可以删掉。 - 页面域名不在列表里时，那个页面上就不会出现聊天按钮。
内容安全策略（CSP）
如果你的网站发送了 Content-Security-Policy 响应头，需要放行 AskCub 的资源，否则聊天窗会被拦截：
| 指令 | 放行 |
|---|---|
script-src | https://static.pathclue.com 和 https://chat.askcub.com |
connect-src | https://api.pathclue.com（页面浏览与客服状态）和聊天连接 wss://ws.askcub.com |
frame-src | https://chat.askcub.com（聊天窗运行在框架里） |
img-src | https://file.pathclue.com（头像、Logo 和图片消息） |
修改策略后刷新网站，看看浏览器控制台里还有没有“Refused to load”之类的提示。
其他保护
- 频率限制会自动压住突发的大量消息和新会话。
- 垃圾链接和你设置的屏蔽词会被过滤。
- 可以拉黑访客，最长 30 天。
- IP 地址只在内存中用于限流，不和会话一起保存。