Bezpieczeństwo
Ten artykuł zbiera mechanizmy bezpieczeństwa Bitee: izolację firm, role i uprawnienia, sesje i tokeny, szyfrowanie sekretów, ochronę płatności i bonów, dziennik zdarzeń oraz zasady, które powinieneś stosować w codziennej pracy.
Co chroni system#
| Warstwa | Jak działa |
|---|---|
| Izolacja firm | Każde zapytanie jest ograniczone do aktywnej firmy. Dane innej firmy są niewidoczne (Firmy) |
| Uprawnienia | Dostęp do ekranów i operacji wynika z ról i macierzy uprawnień. Serwer sprawdza prawa przy każdej operacji, a ukrycie przycisku to tylko wygoda (Macierz) |
| Sesje | Krótko żyjący token dostępu i odświeżanie w bezpiecznym ciasteczku. Limit czasu sesji i sposób odliczania ustawiasz w Ustawieniach logowania |
| Hasła i PIN-y | Przechowywane w postaci haszowanej. Błędne próby PIN-u blokują terminal na ustalony czas |
| Sekrety integracji | Klucze API, hasła skrzynek, poświadczenia GA4 i operatorów płatności są szyfrowane i nie wracają do przeglądarki |
| Płatności online | Powiadomienia operatorów są weryfikowane podpisem, a księgowanie płatności jest chronione przed powtórzeniem |
| Bony | Losowe kody, podpisany kod QR i zabezpieczona przed dublowaniem realizacja (Vouchery) |
| Raporty SQL | Tylko odczyt, wymuszona izolacja firmy i lista dozwolonych tabel (Kreator raportów) |
| Dziennik zdarzeń | Ślad logowań, zmian i błędów, przechowywany 30 dni (Dziennik) |
Dobre praktyki#
- Nadawaj minimalne uprawnienia i rolę administratora zostaw wąskiej grupie.
- Używaj hasła aplikacji dla poczty i oddzielnych profili do powiadomień systemowych.
- Sekretów API (zwłaszcza sekretu wewnętrznego) używaj wyłącznie po stronie serwera.
- Włącz ponowne potwierdzenie menedżera dla zwrotów i anulowań na kasie.
- Okresowo przeglądaj listę użytkowników i zaufanych urządzeń POS.
- Zgłaszaj podejrzane zdarzenia administratorowi platformy i nie udostępniaj kont.
PodsumowanieW skrócie
Bezpieczeństwo to współpraca platformy i Twoich zasad: izolacja i szyfrowanie po stronie systemu, a role, hasła i higiena kont po Twojej.