Zaproszenie księgowego powinno określać zakres współpracy. Nie każda osoba, która przegląda koszty, musi wystawiać faktury albo zarządzać kluczami KSeF. Zasada minimalnego dostępu oznacza przyznanie tylko tych uprawnień, które są potrzebne do konkretnego zadania, i odebranie ich po zakończeniu współpracy.
Odczyt to nie zapis
Możliwość zobaczenia dokumentu i możliwość jego zmiany to dwa różne uprawnienia. W ksefv.pl dostęp księgowego opiera się na zakresach, które właściciel przyznaje w ramach zaproszenia. Zacznij od ograniczonego presetu, a dodatkowe możliwości dodawaj świadomie. Dostęp do wrażliwych ustawień powinien być uzasadniony, nie zaznaczony na wszelki wypadek.
Firma klienta jest granicą dostępu
Wybór klienta określa kontekst pracy, ale sama wartość identyfikatora firmy nie jest zgodą na dostęp. Serwer musi sprawdzić powiązanie użytkownika z firmą oraz zakres operacji. Ukrywanie przycisków w panelu pomaga uniknąć pomyłek, lecz nie zastępuje autoryzacji API — żądanie można wysłać bez korzystania z interfejsu.
Uprawnienia nie powinny żyć wiecznie
Po zmianie pracownika biura, zakończeniu umowy albo zmianie zakresu usług przejrzyj przyznane dostępy. Odwołanie zgody powinno uniemożliwić dalszą pracę także w wcześniej otwartej karcie. Historia działań pomaga odtworzyć wykonane operacje, ale nie oznacza, że każda z nich była biznesowo właściwa.
Krótka lista kontrolna właściciela
- Sprawdź adres osoby zapraszanej i uzgodniony zakres pracy.
- Oddziel przeglądanie dokumentów od ich tworzenia i usuwania.
- Nie przekazuj hasła ani własnych sekretów integracyjnych.
- Przeglądaj dostępy okresowo i po zmianach personalnych.
- W razie wątpliwości ogranicz dostęp przed wyjaśnieniem sprawy.
O szerszym podejściu przeczytasz w artykule o bezpieczeństwie danych.
Uporządkuj pracę z dokumentami
Poznaj panel i wybierz funkcje odpowiednie dla Twojej firmy. Konfigurację integracji i sposób rozliczenia uzgodnij z księgowym.