Bezpieczne przechowywanie tokenów KSeF i kluczy do integracji

Token KSeF pozwala wystawiać i odczytywać faktury w imieniu firmy. Klucze do Allegro, sklepu czy kuriera dają dostęp do zamówień i przesyłek. To są sekrety o skutkach finansowych, więc warto je traktować tak samo ostrożnie jak hasło do banku.

Po stronie systemu

• Szyfrowanie przed zapisem w bazie, z kluczem przechowywanym poza bazą danych.
• Brak odczytu: po zapisie sekret nigdy nie wraca do przeglądarki ani do odpowiedzi interfejsu. Można go tylko zastąpić nowym.
• Brak sekretów w logach i w zgłoszeniach błędów: dane wrażliwe są usuwane z kontekstu, zanim trafi do obsługi.
• Odświeżanie tokenów OAuth po stronie serwera, z zaszyfrowanym przechowywaniem tokenów odświeżających.

Po stronie firmy

• Generuj własny token dla NIP firmy i nadawaj tylko potrzebne uprawnienia (np. wystawianie i odczyt faktur).
• Wybierz jawnie środowisko (test, DEMO, produkcja) i próbuj najpierw na testowym.
• Klucze do integracji wpisuje osoba z uprawnieniem do zapisu danych firmy; reszta zespołu ich nie widzi.
• Po zmianie osoby odpowiedzialnej wygeneruj nowy token i odwołaj stary.

Własne klucze do interfejsu Zaksio

Klucz do publicznego interfejsu widać tylko w chwili utworzenia. Można ograniczyć go zakresami, listą dozwolonych adresów IP i datą wygaśnięcia, obracać z okresem przejściowym i w każdej chwili odwołać. Zmiany kluczy wymagają dodatkowego potwierdzenia hasłem, kodem 2FA albo kodem z e-maila.