Verze 5.42 přidává do ISPadminu stránku Správa tokenů (Nastavení / Systémové nastavení) a hlavně k ní uživatelská oprávnění. Generování API klíčů — přes které lze ze systému data číst i do něj vkládat — je tak nově řízené: rozhoduje správce, ne kdokoli, kdo se do systému přihlásí. Pro ISP to znamená menší bezpečnostní riziko, kontrolu nad přístupy k datům a krok navíc směrem k souladu s NIS2.
Víte, kdo všechno si u vás dnes může vytvořit API klíč do ISPadminu? Kolik klíčů je aktuálně v systému aktivních a ke které integraci vlastně patří? A zůstal někde „žít“ token po ukončené zkušební licenci nebo po odpojeném nástroji, o kterém už nikdo neví? Pokud odpověď zní „nemám tušení“, má pro vás verze 5.42 dobrou zprávu: přístup ke generování API klíčů je od teď plně ve vašich rukou.
Proč to vůbec řešit
REST API je dnes běžná brána do ISPadminu. Přes API klíče se k systému připojují integrace na mapy, SMS brány, bankovní rozhraní, fakturační napojení i vlastní skripty a nástroje třetích stran — a čím dál častěji i projekty typu hlasové samoobsluhy nebo AI asistentů, kteří si z ISPadminu tahají data o klientech a službách. Každé takové napojení potřebuje svůj token, a ten je v podstatě klíč od systému.
Problém byl v tom, že stránka pro generování API klíčů dosud nebyla zařazená v navigaci a neměla vlastní oprávnění. V praxi to znamenalo, že kterýkoli přihlášený uživatel si mohl vygenerovat vlastní API klíč a přes něj z ISPadminu vytahovat informace, případně je do systému vkládat. U systému, který spravuje citlivá data o klientech, službách a síti, je to reálné bezpečnostní riziko — a přesně na něj upozornil jeden z poskytovatelů.
Co Správa tokenů přináší
Stránka Správa tokenů je nově zařazená v menu v sekci Nastavení / Systémové nastavení a generování i správu API klíčů tak máte na jednom, jasně daném místě. Klíčová změna je ale v oprávněních: v nastavení uživatele k této stránce přibyla čtyři samostatná oprávnění — čtení, přidání, úprava a smazání.
Oprávnění přitom fungují opravdu striktně. Bez práva čtení se stránka uživateli vůbec nezobrazí a nenajde ji ani v menu. Bez práv na přidání, úpravu či smazání zmizí příslušná tlačítka — a co je podstatné, daná akce neprojde ani přes přímé zadání URL. Oprávnění tedy nejde obejít „zadními vrátky“.
Rozhodnutí, kdo smí API klíče vidět a vytvářet, je tak čistě na správci. Můžete ho svěřit úzkému okruhu lidí, kteří integrace opravdu spravují, a zbytku týmu ke generování klíčů přístup vůbec nedávat.
Tři role, tři důvody, proč to ocení
Správce systému konečně rozhoduje o tom, kdo do API vidí. Místo stavu „může každý“ přiděluje přístup cíleně a podle potřeby — a stejně snadno ho zase odebere, když se personální obsazení změní.
Osoba odpovědná za bezpečnost dostává do ruky princip nejmenších oprávnění v praxi: přístup ke klíčům od systému má jen ten, kdo ho nutně potřebuje. To se hodí nejen kvůli klidnému spánku, ale i při doložení, že přístup k datům je řízený — což je téma, které s NIS2 řeší čím dál víc poskytovatelů.
Majitel ISP má jednodušší jistotu: z jeho systému se netáhnou data přes klíč, o kterém nikdo neví a který vygeneroval kdokoli. Riziko úniku dat přes „zapomenutý“ token výrazně klesá.
Jak to zapadá do zbytku systému
Správa tokenů není osamocená funkce — navazuje na uživatelská oprávnění, na kterých stojí zabezpečení celého ISPadminu. Stejně jako u ostatních stránek teď i u generování API klíčů platí, že viditelnost a možnosti akcí řídíte přes práva konkrétního uživatele. Zapadá to i do širší bezpečnostní linie posledních verzí (hesla, kontrola přístupů, opatření kolem NIS2), kde jde pokaždé o totéž: mít pod kontrolou, kdo se k čemu v systému dostane.
Tři tipy, jak to nastavit dobře
Tip 1 — Hned po aktualizaci přidělte práva úzce. Po přechodu na 5.42 nemá oprávnění ke Správě tokenů zpočátku nikdo. Využijte to a dejte přístup jen lidem, kteří API klíče skutečně spravují — ne „pro jistotu“ celému týmu.
Tip 2 — Projděte a vyčistěte stávající klíče. Podívejte se, jaké tokeny jsou v systému, a zrušte ty, které patří k ukončeným integracím nebo skončeným zkušebním licencím. Neaktivní klíč je zbytečné otevřené okno.
Tip 3 — Oddělte čtení od úprav. Většině lidí, kteří do stránky potřebují nahlédnout, stačí právo čtení. Přidání, úpravu a smazání nechte jen těm, kdo klíče opravdu vydávají.
Co z toho má ISP
Nižší bezpečnostní riziko — API klíč už si nevytvoří kdokoli přihlášený, takže mizí jedna z tichých cest, jak se dostat k datům.
Kontrola nad přístupy — správce rozhoduje, kdo smí tokeny vidět, vytvářet i mazat, a může to kdykoli změnit.
Krok k souladu s NIS2 — řízený přístup ke klíčům od systému a princip nejmenších oprávnění jsou přesně to, co dnešní bezpečnostní požadavky očekávají.
Pořádek v integracích — generování a správu klíčů máte na jednom místě, ne roztroušené „u každého, kdo se přihlásí“.
Jak začít
Stránku Správa tokenů najdete v ISPadminu 5.42 v sekci Nastavení / Systémové nastavení. Pokud verzi ještě nemáte nasazenou, požádejte o aktualizaci. Pak doporučujeme tři kroky:
Krok 1 — Přidělte oprávnění ke Správě tokenů jen odpovědným uživatelům v jejich nastavení; u přihlášených se změna projeví při dalším přihlášení.
Krok 2 — Projděte aktuální API klíče a odeberte ty, které už nejsou potřeba.
Krok 3 — Domluvte se v týmu na jednoduchém pravidle — kdo tokeny vydává a jak se ruší po skončení integrace — ať vám přehled zůstane čistý i do budoucna.
V případě zájmu vám s nastavením oprávnění rádi poradíme.