Один раз укажите базовый HTTPS URL того же сервера, где крутится приложение (папка robot-server: и вкладка, и робот), без завершающего слэша. Если UI открывается с портала из ZIP — укажите URL отдельного Node-сервера.
Обработчик робота: …/bitrix-robot (на том же origin, что deal_tab.html, если всё на одном Node). Права приложения: CRM, Диск, bizproc.