Bezpieczeństwo konta i dostęp API
Sprawdź ustawienia bezpieczeństwa, własne logowanie i klucze API bez ujawniania sekretów.
Każdy operator powinien logować się na własne konto. Administratorzy zarządzają uprawnieniami organizacji, a osoby pracujące w skrzynce dostają dostęp potrzebny do obsługi klientów. Przed dodaniem kolejnej integracji sprawdź zarówno role zespołu, jak i zabezpieczenia osobistych kont.
Zabezpiecz profil operatora
Otwórz Profil → Bezpieczeństwo. Sprawdź dostępne opcje uwierzytelniania, w tym uwierzytelnianie dwuskładnikowe, i przejrzyj sesje zgodnie z polityką organizacji. Każdy operator konfiguruje ochronę własnego konta. Uprawnienia i dostęp do ustawień organizacji nadaje administrator w Zespole.
Klucze API do automatyzacji
W Ustawienia → Klucze API administrator przejrzy zapisane klucze i ich uprawnienia. Wybierz Generuj nowy klucz, nadaj mu nazwę, przypisz witryny i zaznacz tylko wymagane uprawnienia. Wygenerowaną wartość zapisz od razu w menedżerze sekretów. Nie wpisuj jej do wiadomości, screenshotów ani publicznego repozytorium. Gdy klucz przestaje być potrzebny, unieważnij go.
Przypisz klucz do właściwych witryn i uprawnień
Formularz klucza ma osobne ustawienia Dostępu do witryn i Zakresów uprawnień. Wybranie Wszystkie obecne i przyszłe witryny przyzna dostęp również do sklepów dodanych później. Dla integracji raportowej TopSoft4U bezpieczniej jest wskazać Wybrane witryny i zaznaczyć tylko operacje potrzebne do pobierania raportów.
Klucz wygenerowany przez serwer pojawia się w panelu po utworzeniu. Zapisz go od razu. Jeśli nie otrzymasz wartości po odpowiedzi serwera, nie ponawiaj bezrefleksyjnie tworzenia: sprawdź listę kluczy i w razie potrzeby unieważnij niepewny wpis. Samo zapisanie nazwy w formularzu nie przyznaje uprawnień bez wybranych zakresów.
Rotacja dostępu do integracji
Nadaj kluczowi nazwę wskazującą jego odbiorcę, np. TopSoft4U - raporty, i ogranicz dostęp do wybranych witryn. Nie udostępniaj jednego klucza kilku aplikacjom. Gdy zmieniasz integrację, utwórz nowy klucz, podmień go po stronie aplikacji i unieważnij poprzedni. Nie przechowuj go w adresie URL ani w kodzie frontendu.
Do integracji z API Convor używaj udokumentowanych metod dostępnych w referencji REST API. Jeśli potrzebujesz np. dodać operatora, sprawdź uprawnienia wymagane przez POST Invite an operator. Publiczny klucz widgetu ma inne przeznaczenie niż prywatny klucz serwera. Szczegóły znajdziesz w instalacji widgetu.
Logowanie SSO przez OIDC
Jeśli plan organizacji udostępnia SSO, przejdź do Ustawienia → SSO / OIDC. Sekcja Konfiguracja OIDC wymaga trzech danych od dostawcy tożsamości: Adres URL wystawcy, Identyfikator klienta i Sekret klienta. Convor przechowuje jedną konfigurację OIDC na organizację. Podczas pierwszej konfiguracji wpisz sekret klienta. Jest również wymagany, gdy zmienisz dostawcę lub identyfikator aplikacji. Przy późniejszej edycji bez zmiany tych danych nie musisz ponownie podawać sekretu. Przed włączeniem Włącz SSO użyj Testuj połączenie. Ten test sprawdza tylko dostępność i wykrywanie ustawień wystawcy OIDC na podstawie jego adresu URL. Nie sprawdza sekretu klienta ani całego procesu logowania. Przetestuj logowanie na uprawnionym koncie, zanim przełączysz zespół na SSO.
Mapowania grup i uprawnienia
W sekcji Mapowania grup dostawcy tożsamości wybierz Dodaj mapowanie. Dla każdej pozycji wskaż Grupa lub rola dostawcy oraz odpowiadającą jej Rola Convor: Obserwator, Operator albo Administrator. Możesz zapisać maksymalnie 100 różnych mapowań grup. Powtarzające się nazwy nie przejdą walidacji. Mapowania dotyczą nowych członkostw tworzonych przez logowanie SSO. Nie zmieniają ról operatorów już zaproszonych do organizacji. Jeśli konto pasuje do kilku grup, Convor wybierze najwyższą przypisaną rolę. Dlatego uprawnienia administratora przydzielaj tylko grupom, których członkowie naprawdę powinni zarządzać organizacją.
Zmiany administracyjne przejrzysz w Dzienniku audytu.
Czy ta strona była pomocna?