Resumo
Libere a regra completa e o app funciona por inteiro. Quem não pode usar curingas amplos usa as tabelas da seção seguinte.
Libere por nome de domínio, não por IP. Os endereços mudam. A única exceção é o servidor de voz, que tem IP fixo.
*.omni.chatnão basta. A API do bot e o serviço de arquivos usam endereços padrão da AWS, por isso*.amazonaws.comtambém é obrigatório.Curinga não cobre o domínio raiz. Na maioria dos firewalls,
*.sentry.ionão liberasentry.io. Onde o domínio raiz também é necessário, ele aparece na lista em linha própria.Prefira rejeitar a descartar em silêncio. Com rejeição (reset, 403, página de bloqueio) o app avisa e segue. Com descarte silencioso, a tela de conversas fica travada até a conexão expirar.
Regra completa
Tudo em TCP 443 (HTTPS e WebSocket seguro), por nome de domínio. As regras de voz e de notificação estão nas seções próprias.
# Omni — aplicação, API e tempo real (inclui hosts de dois níveis e lqs-0 a lqs-14) *.omni.chat # AWS — API do bot e serviço de arquivos *.amazonaws.com # Google — fontes, ícones, notificações e login com Google *.google.com *.googleapis.com *.gstatic.com *.firebaseapp.com *.cloudfunctions.net # Meta — conexão dos canais WhatsApp, Instagram e Messenger *.facebook.com *.facebook.net *.fbcdn.net *.fbsbx.com *.whatsapp.com *.whatsapp.net *.instagram.com *.cdninstagram.com # Recursos do app — emoji, dashboards e vídeos de ajuda cdn.jsdelivr.net *.metabaseapp.com www.youtube.com unpkg.com # Suporte, onboarding, pesquisa e telemetria *.intercom.io *.intercomcdn.com *.intercomassets.com intercom.help intercom-sheets.com *.launchdarkly.com *.productfruits.com *.wootric.com *.clarity.ms *.mixpanel.com *.maze.co *.sentry.io sentry.io *.statuspage.io *.upvoty.com *.upvotyfeedback.com # Experimentos, geolocalização e consulta de endereço statsigapi.net featureassets.org prodregistryv2.org cloudflare-dns.com *.iplocate.io viacep.com.br *.postmon.com.br *.ibge.gov.br
Para quem precisa restringir
Obrigatório — sem isto o app não funciona
Destino | Porta | Para que serve | Se bloquear |
| TCP 443 | Aplicação, API, chat em tempo real e envio de mensagens. | O app não abre. |
| TCP 443 | API do bot (chamada ao abrir a tela de conversas), WhatsApp Flows, sugestões, e o serviço que entrega arquivos e imagens das conversas. | A lista de conversas não carrega e os anexos não aparecem. Com descarte silencioso, a tela trava. |
Política que não aceita *.amazonaws.com? O conjunto pode ser reduzido a poucos endereços específicos. Peça ao suporte da OmniChat a lista restrita de hosts AWS — ela é entregue por chamado porque esses endereços mudam quando os serviços são recriados, e uma regra desatualizada derruba a tela de conversas sem aviso.
Por recurso — libere o que for usado
Recurso | Destino (TCP 443) | Se bloquear |
Seletor de emoji |
| O seletor abre sem as imagens dos emojis. |
Fonte e ícones |
| O app usa a fonte do sistema; nos relatórios, ícones podem aparecer como texto. |
Análise de dados |
| Os dashboards não carregam. |
Vídeos de ajuda |
| Os vídeos embutidos nas configurações não tocam. |
Canais Meta |
| A conexão dos canais Meta deixa de funcionar. |
Login com Google |
| O login com Google não completa. |
Notificações no desktop | ver seção de notificações | O atendente não recebe aviso com a aba em segundo plano. |
Opcional — o app funciona sem, com menos recursos
Destino (TCP 443) | O que se perde |
| Chat de suporte dentro do app. |
| Entrega de funcionalidades por flag. |
| Tours e avisos dentro do produto. |
| Pesquisa de satisfação (NPS). |
| Telemetria, análise de uso e relatório de erros. |
| Indicador de status na tela de login. |
| Canal de sugestão de melhorias. |
Voz (WebRTC)
Necessário apenas para clientes que usam ligação de voz. O servidor tem nome e IP fixos: ice-server.omni.chat aponta para 35.174.33.179. Firewalls que filtram UDP por nome podem usar o nome; os demais usam o IP.
Porta | Destino | Uso |
UDP 3478 |
| STUN e TURN — caminho preferido. |
UDP 443 |
| STUN e TURN — alternativa à 3478. |
TCP 443 |
| TURN sobre TLS — usado quando o UDP é bloqueado. |
TCP 3478 |
| STUN sobre TCP. |
UDP 19302 |
| STUN configurado no aplicativo. |
Notificações no desktop (push)
Depende do navegador usado pelo atendente.
Navegador | Destino | Porta |
Todos |
| TCP 443 |
Chrome |
| TCP 5228–5230 |
Safari e macOS |
| TCP 443, 80, 5223, 2197 |
Edge |
| TCP 443 |
Firefox |
| TCP 443 |
Para as portas 5228–5230, a documentação do Google recomenda timeout de sessão de 30 minutos ou mais. Timeout curto derruba a entrega das notificações.
Pontos de atenção
O curinga precisa cobrir mais de um nível. Hosts têm dois níveis. Não libere apenas
ws.omni.chat.O curinga não cobre o domínio raiz.
*.sentry.ionão liberasentry.iona maioria dos firewalls — por isso os dois estão na lista. Se a sua ferramenta já trata o curinga como incluindo o domínio raiz, a linha extra é inofensiva.Não libere por IP.
Imagens podem vir de qualquer origem. O app exibe imagens hospedadas em sistemas do próprio cliente, como catálogo de produtos. Esses domínios também precisam estar liberados — não existe lista fechada que cubra todas as imagens.
Integrações não passam pelo navegador. E-commerce, ERP, Microsoft Graph, filas e webhooks são chamados pelo servidor da OmniChat; o envio de mensagens para a Meta também. Não é preciso liberá-los no firewall do atendente.
Como conferir esta lista por conta própria
O próprio app publica, no cabeçalho Content-Security-Policy, a lista de origens que o navegador está autorizado a acessar. Qualquer pessoa pode lê-la, sem credencial, e comparar com a regra do firewall. No PowerShell:
(Invoke-WebRequest -Uri https://app.omni.chat -Method Head -UseBasicParsing).Headers['Content-Security-Policy'] -split ';\s*'
As diretivas connect-src, script-src-elem, frame-src, font-src e style-src trazem os destinos de rede. As entradas 'self', data: e blob: não são tráfego externo. img-src e media-src aceitam qualquer origem, por isso imagens de sistemas do cliente não aparecem nessa lista.
Teste depois de liberar
Leva cerca de dois minutos, com uma conversa de teste.
Abrir app.omni.chat e entrar — a lista de conversas deve aparecer. Tela em branco aponta para a API do bot na AWS.
Enviar um texto numa conversa de teste.
Anexar uma imagem e conferir se a miniatura aparece (serviço de arquivos).
Abrir o seletor de emoji e conferir se as imagens carregam.
Abrir Análise de dados e conferir se o dashboard carrega.
Fazer uma ligação de voz de teste, se o cliente usa voz.
Se algum item continuar bloqueado depois da liberação, envie o registro do firewall junto com a tela e a ação em que ocorreu — isso identifica o destino em um passo.