Identidad y prefill

Si embebes el formulario dentro de una app donde el usuario ya ha iniciado sesión, no tiene sentido pedirle de nuevo su nombre y su email. Lectico te permite rellenar esos datos y ocultar esos campos, y —en plan Pro o superior— verificar la identidad en el servidor para que nadie pueda falsearla desde el cliente.

Prefill y ocultar campos

Cuando tu app conoce al usuario, pasa su nombre y email al formulario y oculta esos campos. El visitante solo verá lo relevante (por ejemplo, asunto y mensaje), y el ticket se atribuye a esa identidad.

<lectico-form
  api-key="pk_live_xxx"
  form-id="frm_xxx"
  locale="es"
  prefill-name="Ada Lovelace"
  prefill-email="ada@tudominio.com"
  hidden-fields="name,email">
</lectico-form>

• prefill-name / prefill-email — rellenan los campos name y email.
• prefill — JSON para rellenar varios campos por su ID, por ejemplo prefill='{"plan":"pro"}'.
• hidden-fields — lista de IDs de campos a ocultar, separados por comas. Sus valores se envían igual, solo no se muestran.

Default por formulario + override por embed

Puedes fijar el comportamiento por defecto en el panel, sin tocar el HTML. En el editor del formulario, la sección Identidad del visitante tiene la casilla El host provee nombre y email: al activarla, Lectico marca los campos name y email como ocultos por defecto en cualquier embed de ese formulario.

La combinación ideal: marcas el default en el panel y, en cada página, pasas los valores reales con prefill-name / prefill-email. Los atributos del embed siempre tienen prioridad sobre el default del formulario.

Identidad firmada (Pro+)

El prefill rellena datos, pero un usuario avispado podría editar el HTML y cambiar el email para que el ticket se atribuya a otra persona. La identidad firmada elimina ese riesgo: tu backend firma los datos del usuario y Lectico los verifica en el servidor antes de aceptar el envío.

Cómo funciona

Es el mismo modelo que la Identity Verification de Intercom:

1. Tu backend firma un token (JWT HS256) con el secreto del workspace, incluyendo el email (y opcionalmente el nombre) del usuario autenticado.
2. Pasas el token al formulario.
3. Lectico verifica la firma en el servidor. Si es válida, el email y el nombre del token mandan (sobrescriben lo que venga de los campos), de modo que el ticket siempre se atribuye a la persona correcta.

El secreto vive solo en tu backend; nunca se expone al cliente ni viaja en el HTML.

Modos de verificación

En el editor del formulario, la sección Identidad del visitante tiene un selector de verificación con tres modos:

• Ninguna (none) — el formulario no espera identidad firmada (comportamiento por defecto).
• Opcional (optional, Pro+) — si llega un token, se verifica y manda; si no llega o es inválido, el envío se acepta igualmente con los datos del formulario (sin marcar como verificado).
• Requerida (required, Pro+) — el envío solo se acepta con un token válido. Si falta o es inválido, se rechaza (error 401). Úsalo en apps con login donde toda solicitud debe venir de un usuario autenticado.

Dónde se genera y se rota el secreto

El secreto es por workspace: un único secreto firma la identidad de cualquier formulario de tu cuenta. Se gestiona desde la pantalla Instalar de un formulario, pestaña Identidad firmada:

• Generar crea el secreto y lo muestra una sola vez (cópialo y guárdalo como variable de entorno en tu backend en ese momento).
• Rotar genera uno nuevo e invalida el anterior. La pantalla indica la fecha de creación o de la última rotación.

Receta de firma técnica

La pantalla Identidad firmada incluye, además del secreto, una receta de firma lista para copiar en Node, Python o PHP (los claims del token, el algoritmo HS256 y la expiración recomendada). Para el detalle completo de la firma server-side, el formato del token y el modo headless con identidad, consulta:

Próximos pasos