Przejdź do treści

Bezpieczeństwo

Przestrzeń do analizy wymagań bezpieczeństwa — szkielet do doprecyzowania przez analityków. Poniższe sekcje to punkty wejścia (transport, tokeny, scopes, logi, audyt) dla naszego systemu.

1. Transport (HTTPS)

  • Wszystkie wywołania API — wyłącznie przez HTTPS (TLS 1.2 lub wyższy).
  • Certyfikaty serwerów — weryfikowane; wyjątki tylko w izolowanym środowisku testowym z uzasadnieniem.
  • Doprecyzować: minimalna wersja TLS, polityka certyfikatów.

2. Autentykacja i tokeny

  • Nie logować tokenów dostępu, refresh tokenów ani haseł w logach ani w śladach błędów.
  • Tokeny przechowywać tylko w pamięci lub w bezpiecznym magazynie; nie w plikach konfiguracyjnych w repozytorium.
  • Identity Provider: Nasz IdP / serwis tokenów — do uzupełnienia (np. nazwa, endpoint).
  • Rotacja kluczy / secretów: Polityka rotacji dla client secret i kluczy aplikacji — do doprecyzowania; dokumentować harmonogram i odpowiedzialność.

3. Rejestracja aplikacji i scopes

  • Rejestracja aplikacji: Gdzie i w jakiej formie klienci rejestrują aplikacje — placeholder do doprecyzowania.
  • Scopes / uprawnienia: Zasada least privilege — aplikacja otrzymuje tylko wymagane uprawnienia (odczyt/zapis per zasób lub operacja). Lista scope’ów dla naszego API — do uzupełnienia w toku analizy (np. w powiązaniu z api-contracts).

4. Dane wrażliwe w logach i śladach

  • Nie logować pełnych payloadów zawierających dane osobowe (RODO), dane finansowe ani numerów dokumentów identyfikujących. W razie potrzeby — maskowanie lub logowanie tylko identyfikatorów.
  • W produkcji wyłączyć lub ograniczyć verbose logging; pełne body tylko w środowisku izolowanym do debugowania.

5. Sieć i środowisko

  • Integracje z naszym API — z zaufanej sieci; ewentualna whitelist IP / sieci — do doprecyzowania.
  • Zmienne środowiskowe (URL, tenant, client id) — oddzielać per środowisko (dev/test/prod); nie committować secretów.

6. Audyt i zgodność

  • Logować zdarzenia autoryzacji (sukces/porażka) oraz krytyczne operacje (np. tworzenie dokumentów księgowych) w celu audytu; przechowywanie zgodnie z polityką retention.
  • Przy przetwarzaniu danych osobowych (RODO) — zapewnić podstawę prawną, rejestr czynności i realizację praw osób; integracja API nie zwalnia z obowiązków administratora danych.
  • Odniesienia do wewnętrznych polityk lub standardów — do uzupełnienia.