Przewodniki

Bezpieczeństwo i przetwarzanie danych

Co dzieje się z kluczami, certyfikatem KSeF i danymi kupujących, gdy korzystasz z API.

Klucze i transport

Całe API działa wyłącznie przez HTTPS.
Klucze API przechowujemy tylko jako skróty SHA-256. Pełny klucz widzisz raz, przy utworzeniu, i możesz go w każdej chwili wymienić.
Dane trybu testowego i produkcyjnego są rozdzielone: klucz testowy nie widzi faktur produkcyjnych i odwrotnie.
Webhooki podpisujemy HMAC-SHA256 osobnym sekretem każdego endpointu. Weryfikacja podpisu

Certyfikat i token KSeF

Certyfikat KSeF (lub token) sprzedawcy służy tylko do wysyłania jego faktur do KSeF. Przechowujemy go w postaci zaszyfrowanej i nie pokazujemy z powrotem w API ani w panelu. Gdy unieważnisz certyfikat w KSeF, wysyłka natychmiast się zatrzyma, a faktury dostaną błąd ksef_auth_failed.

Jakie dane dostajemy

Tylko to, co jest potrzebne na fakturze: NIP, nazwę i adres nabywcy, pozycje zamówienia, kwoty oraz opcjonalnie e-mail kupującego (na niego wysyłamy PDF). Wysyłaj wyłącznie zamówienia z NIP; wtyczka WooCommerce robi to sama i nie przekazuje adresu IP, przeglądarki, telefonu ani id klienta.

Link pdf_url jest publiczny i zawiera token niemożliwy do odgadnięcia. Traktuj go jak dokument: przekazuj tylko kupującemu.

Infrastruktura

API korzysta z tej samej infrastruktury i tych samych zabezpieczeń co aplikacja KSeF Faktury: serwery w UE, szyfrowanie zamówień, plików XML i PDF oraz kopii zapasowych. Szczegóły: Bezpieczeństwo.

Role i dokumenty

Sprzedawca jest administratorem danych swoich kupujących, a my przetwarzamy je w jego imieniu, żeby wystawić i wysłać faktury. Obecne dokumenty prawne (polityka prywatności) opisują aplikację dla Shopify. Umowę powierzenia przetwarzania danych i regulamin dla klientów API przygotujemy przed włączeniem trybu produkcyjnego.

Zgłaszanie podatności

Jeśli znajdziesz problem z bezpieczeństwem, napisz na kontakt@ksefshop.pl z tematem „Security”. Prosimy nie testować na cudzych kontach ani danych.