Widget y embed

• Usa siempre una clave pública (pk_…). data-channel elige el canal: public (cliente final) o intermediary.
• Con una clave de intermediario el widget opera siempre como ese intermediario.
• Cada canal se habilita por producto (widget público y widget de intermediarios).

<script
  src="/widget/v1/embed.js"
  data-product-id="PRODUCT_ID"
  data-api-key="pk_live_…"
  data-channel="public"
  async
></script>

El widget avisa a tu página cada cotización, póliza y pago: escucha los eventos en la etiqueta script, o usa onQuote, onPolicy y onPayment con la API JS.

const el = document.querySelector('script[src*="embed.js"]');
el.addEventListener('quore:quote', (e) => console.log(e.detail));
el.addEventListener('quore:policy', (e) => console.log(e.detail));
el.addEventListener('quore:payment', (e) => console.log(e.detail));

// quore:quote
{ quoteId, coverages, … }
// quore:policy
{ id, policyNumber, status, payment? }
// quore:payment
{ policyId, policyStatus, paymentMethodStatus, settling }

• quore:quote: cada cotización calculada.
• quore:policy: la póliza emitida, con payment si el cobro sigue online.
• quore:payment: el resultado de un pago o del registro del medio de pago dentro del widget.

• Para embeber el widget de intermediarios dentro de tu propio portal, con el intermediario ya identificado.
• Tu servidor firma intermediaryRef.timestamp.nonce (con un nonce aleatorio por carga de página) con HMAC-SHA256 y el secreto de firma de embed de tu cuenta, y escribe la etiqueta con la firma y el nonce.
• La firma vale 5 minutos y un solo uso; el widget la canjea por una sesión de 15 minutos que se renueva sola.
• Usa tu clave pública de la cuenta, no una clave de intermediario.

Cómo funciona: el intermediario ya inició sesión en tu portal, así que no vuelve a iniciar sesión en Quore.

1. Tu servidor, que ya sabe quién está logueado, firma intermediaryRef.timestamp.nonce y escribe la etiqueta del widget con esa firma y el nonce.
2. El widget envía la firma a POST /api/embed/sessions. Quore verifica la firma, su vigencia y que no se haya usado antes, y busca al intermediario por su referencia externa.
3. Quore devuelve una sesión de 15 minutos que se renueva sola. El intermediario cotiza y emite con su vista, sus productos y su comisión.

Qué desarrolla tu equipo y qué resuelve Quore:

• Tu equipo: firmar en tu servidor (unas pocas líneas, con ejemplos más abajo) y cargar en Quore la referencia externa de cada intermediario, que debe ser el mismo ID que usa tu portal. El secreto de firma nunca debe llegar al navegador.
• Quore: verificar la firma, crear y renovar la sesión, aplicar la jerarquía y los permisos, cotizar, emitir y cobrar.

Operar en nombre de un sub-productor: un intermediario de nivel superior puede trabajar como alguien de su estructura.

• Para abrir el widget ya operando como un sub-productor, envía su referencia externa en data-acting-as-ref.
• El intermediario también puede elegir a quién representa desde el propio widget.
• Solo puede elegir intermediarios que estén debajo suyo en la jerarquía, y Quore lo verifica de nuevo en cada solicitud. La sesión siempre tiene permisos de intermediario, nunca de administrador, aunque el usuario también lo sea.
• La cotización y la póliza quedan a nombre del intermediario representado y se calculan con su comisión. Quore también guarda quién operó realmente (actorUserId) y registra cada inicio de sesión en la auditoría.

<!-- data-acting-as-ref (opcional): referencia del sub-productor a preseleccionar -->
<!-- data-quote-id (opcional): reabre esa cotización guardada directo en la emisión -->
<script src="/widget/v1/embed.js"
  data-api-key="pk_live_..."
  data-product-id="ID_DEL_PRODUCTO"
  data-intermediary-ref="<%= intermediaryRef %>"
  data-timestamp="<%= ts %>"
  data-signature="<%= sig %>"
  data-nonce="<%= nonce %>"
  data-acting-as-ref=""
  data-quote-id=""
  async
></script>

const crypto = require('crypto');
const ts = Math.floor(Date.now() / 1000);
const nonce = crypto.randomBytes(16).toString('hex');
const sig = crypto.createHmac('sha256', process.env.QUORE_EMBED_SECRET).update(`${intermediaryRef}.${ts}.${nonce}`).digest('hex');

Atributos, branding, pre-llenado, API JS, pagos y seguridad. Los campos que se pueden pre-llenar dependen de cada producto.