Kiedy podpinasz sklep do integratora, autoryzacja decyduje o bezpieczeństwie Twoich danych. Tłumaczymy prostym językiem różnicę między kluczem API a OAuth i pokazujemy, jak konektory łączą się z Allegro, Shopify czy wFirmą bez wyciągania od Ciebie hasła.
Kiedy podpinasz sklep czy konto marketplace do integratora, w tle dzieje się jedna kluczowa rzecz: narzędzie musi udowodnić platformie, że ma prawo sięgnąć po Twoje dane. Ten moment autoryzacji decyduje o tym, jak bezpieczna jest cała integracja i co się stanie, jeśli coś pójdzie nie tak.
Autoryzacja to nie jest szczegół dla programistów. Od niej zależy, czy oddajesz komuś stałe „hasło” do zamówień i cen, czy tylko ograniczony, odwoływalny dostęp. Różnica bywa niewielka w obsłudze, a ogromna w skutkach, gdyby narzędzie kiedyś padło ofiarą wycieku.
W praktyce e-commerce spotkasz dwie główne metody: klucz API oraz OAuth. Obie pozwalają połączyć sklep z systemem księgowym czy kurierem bez ręcznego przepisywania danych, ale robią to na zupełnie różnych zasadach. Warto rozumieć tę różnicę, zanim klikniesz „połącz”, bo to Ty odpowiadasz za dostęp do swoich danych.
Klucz API (po angielsku API key) to długi, losowy ciąg znaków, który działa jak hasło dostępu. Generujesz go w panelu platformy albo systemu, a potem wklejasz do narzędzia, które chce się połączyć. Od tej chwili narzędzie dołącza klucz do każdego zapytania, żeby udowodnić, że ma prawo do danych.
To proste i szybkie rozwiązanie, dlatego wiele systemów, zwłaszcza księgowych i mniejszych platform, wciąż go używa. Nie musisz przechodzić przez skomplikowany proces logowania, wystarczy skopiować jeden ciąg znaków. Klucz zwykle nie wygasa sam, więc raz podłączona integracja działa tak długo, aż go unieważnisz.
Ta wygoda ma jednak drugą stronę. Klucz API to sekret, który trzeba chronić dokładnie tak jak hasło:
Największa wada klucza API polega na tym, że kto go zdobędzie, zyskuje pełny dostęp bez dodatkowego potwierdzenia. Klucz nie „wie”, kto go używa, więc jeśli wycieknie, obca osoba może pobrać zamówienia albo zmienić dane tak samo jak Ty. Dlatego przy większych, ważnych platformach standardem stał się bezpieczniejszy mechanizm.
OAuth to nowocześniejsze podejście, które rozwiązuje główny problem kluczy: pozwala dać narzędziu dostęp, nie przekazując mu ani hasła, ani stałego sekretu. Zamiast wklejać klucz, klikasz „połącz” i zostajesz przekierowany na stronę samej platformy, na przykład Allegro albo Shopify.
Tam logujesz się bezpośrednio na platformie, w jej własnym, znanym Ci oknie. Widzisz, o jakie uprawnienia prosi narzędzie (na przykład „odczyt zamówień” i „zarządzanie ofertami”), i dopiero wtedy potwierdzasz zgodę. Platforma wydaje narzędziu token dostępu - ograniczony, tymczasowy „bilet”, który pozwala robić dokładnie to, na co się zgodziłeś, i nic więcej.
Ten model ma trzy istotne zalety:
Tokeny OAuth mają celowo krótki czas życia i wygasają co jakiś czas. Żeby integracja nie przestała działać po godzinie, platforma wydaje dodatkowo refresh token, którym narzędzie po cichu wymienia wygasły token na nowy. Ten cały taniec dzieje się w tle - Ty autoryzujesz raz, a odświeżanie odbywa się automatycznie, dopóki nie cofniesz zgody.
Nie chodzi o to, że jedna metoda jest „dobra”, a druga „zła”. O tym, którą zobaczysz przy konkretnej integracji, decyduje przede wszystkim sama platforma. Duże marketplace stawiają na OAuth, bo daje im kontrolę nad zakresem dostępu i możliwość jego szybkiego odcięcia. Prostsze systemy księgowe często zostają przy kluczu API, bo ich API jest mniej rozbudowane.
Poniższa tabela zbiera najważniejsze różnice z perspektywy sprzedawcy.
| Cecha | Klucz API | OAuth |
|---|---|---|
| Co przekazujesz narzędziu | Stały klucz (sekret) | Nic, autoryzujesz na stronie platformy |
| Czy oddajesz hasło | Nie (ale klucz działa jak hasło) | Nie |
| Czas życia | Zwykle bezterminowy do unieważnienia | Krótki, token odświeżany automatycznie |
| Zakres dostępu | Często szeroki, trudniej ograniczyć | Precyzyjny, zatwierdzasz konkretne uprawnienia |
| Cofnięcie dostępu | Unieważnienie klucza w panelu | Odłączenie aplikacji jednym kliknięciem |
| Typowe użycie | Systemy księgowe, prostsze platformy | Duże marketplace, rozbudowane sklepy |
Z punktu widzenia bezpieczeństwa OAuth wygrywa tam, gdzie jest dostępny: mniejsze ryzyko przy wycieku, węższy zakres, łatwe odcięcie. Klucz API bywa jednak jedyną opcją, a przy odpowiedniej higienie (chronienie, rotacja, ograniczanie zakresu) również jest bezpieczny. Dobre narzędzie po prostu używa najbezpieczniejszej metody, jaką dana platforma oferuje, i nie zmusza Cię do wyboru gorszej.
W codziennej pracy nie musisz znać szczegółów każdej metody autoryzacji, bo dobry integrator ukrywa te różnice za jednym prostym krokiem. Kiedy podpinasz kolejną platformę, scenariusz zwykle wygląda tak samo: klikasz „połącz”, przechodzisz autoryzację i wracasz do panelu, w którym połączenie już działa.
Konektory to gotowe „wtyczki”, które po stronie narzędzia obsługują konkretne API i jego sposób autoryzacji. Jeden konektor wie, że Allegro używa OAuth i jak odświeżać jego tokeny. Inny wie, jak podpiąć się do Shopify, a jeszcze inny - jak połączyć się z systemem księgowym takim jak wFirma czy Fakturownia na podstawie klucza API. Ty widzisz tylko efekt, a cała komunikacja przez API dzieje się pod spodem.
W NavyFlame ten model działa dla całego zestawu obsługiwanych platform. Konektory łączą się z marketplace i sklepami (Allegro, eBay, Erli, Shopify, WooCommerce, PrestaShop, Shoper, IdoSell), systemami do faktur (wFirma, inFakt, Fakturownia, iFirma) oraz kurierami (InPost, DHL, Poczta Polska). Dla każdej z tych integracji narzędzie stosuje właściwą metodę autoryzacji i bezpiecznie przechowuje dane dostępowe po swojej stronie, żebyś nie musiał pamiętać kluczy ani ręcznie odświeżać tokenów.
Warto też wiedzieć, że autoryzacja to nie tylko pobieranie danych. Wiele integracji korzysta z webhooków, czyli powiadomień, które platforma sama wysyła do narzędzia w chwili zdarzenia, na przykład złożenia zamówienia. Te powiadomienia również muszą być zabezpieczone, żeby narzędzie miało pewność, że sygnał naprawdę pochodzi od platformy, a nie od kogoś, kto podszywa się pod nią.
Nawet najlepszy mechanizm autoryzacji nie zwalnia Cię z podstawowej higieny. Kilka nawyków sprawia, że integracje pozostają bezpieczne przez cały czas, a nie tylko w dniu podłączenia.
Ten ostatni punkt jest szczególnie ważny przy narzędziach w modelu SaaS, gdzie dane dostępowe wielu sklepów przechowuje jeden dostawca. Dobra platforma projektuje to tak, żeby dane każdego klienta były odseparowane, a dostęp możliwy do cofnięcia w dowolnej chwili. NavyFlame stawia na OAuth wszędzie, gdzie platforma go udostępnia, i szyfruje przechowywane dane dostępowe, żeby podłączenie kolejnego sklepu było równie proste, co bezpieczne.
Na koniec jedno praktyczne przypomnienie: bezpieczeństwo integracji to wspólna odpowiedzialność. Platforma dostarcza mechanizm, narzędzie go poprawnie stosuje, a Ty dbasz o to, żeby nie rozdawać dostępu bez potrzeby i regularnie sprawdzać, kto go faktycznie ma. Przy takim podejściu automatyzacja sprzedaży przez API jest nie tylko wygodna, ale i naprawdę bezpieczna.
Klucz API to długi ciąg znaków, który działa jak stałe hasło do danych sklepu - wklejasz go do narzędzia i ono się nim posługuje. OAuth to proces autoryzacji, w którym klikasz „zezwól” na stronie samej platformy, a ta wydaje narzędziu ograniczony token dostępu. Przy OAuth nie przekazujesz nikomu hasła i możesz cofnąć dostęp jednym kliknięciem, dlatego jest bezpieczniejszy.
Nie, jeśli platforma używa OAuth. Logujesz się bezpośrednio na stronie Allegro czy Shopify i tam potwierdzasz zgodę, a integrator dostaje tylko token, nigdy Twojego hasła. Przy starszych integracjach opartych o klucz API również nie podajesz hasła do konta, tylko wygenerowany w panelu platformy klucz, który w każdej chwili możesz unieważnić.
Tokeny OAuth mają ograniczony czas życia i wygasają co jakiś czas dla bezpieczeństwa. Dobry integrator odświeża je automatycznie w tle za pomocą tzw. refresh tokena, więc nie musisz nic robić. Autoryzację musisz powtórzyć ręcznie tylko wtedy, gdy sam cofniesz zgodę na platformie albo zmienisz hasło i platforma unieważni wszystkie sesje.
Klucz API jest bezpieczny, o ile go chronisz jak hasło - nie wklejasz do publicznych miejsc, screenów ani wiadomości, i wymieniasz go, gdy podejrzewasz wyciek. Wiele platform oferuje tylko klucz API, bo ich API jest prostsze. Ryzyko polega na tym, że klucz zwykle daje szeroki dostęp i trudniej ograniczyć jego zakres niż w przypadku OAuth.
Warto sprawdzić, czy dostawca szyfruje tokeny i klucze po swojej stronie, korzysta z OAuth tam, gdzie platforma to umożliwia, oraz czy pozwala odłączyć integrację i cofnąć dostęp z poziomu panelu. Sprawdź też politykę prywatności i to, czy narzędzie ma jasny opis zakresu uprawnień, o które prosi przy autoryzacji.
Webhook to powiadomienie o zdarzeniu wysyłane automatycznie przez system, gdy coś się wydarzy - np. spłynie nowe zamówienie. Tłumaczymy prosto, czym różni się od odpytywania API i jak wykorzystać go w sklepie.
SaaS to oprogramowanie w modelu abonamentowym, dostępne przez przeglądarkę bez instalacji i utrzymania serwera. Wyjaśniamy, jak działa, jakie ma plusy i minusy oraz gdzie spotkasz go w e-commerce.
Overselling, wolna obsługa, słabe opisy, ręczne faktury, ignorowanie marży i zwrotów. Przegląd najczęstszych błędów w sklepie internetowym i konkretne sposoby, jak ich uniknąć.
Używamy plików cookies, aby zapewnić prawidłowe działanie strony, analizować ruch oraz personalizować treści. Dowiedz się więcej w naszej polityce prywatności.
Zarządzaj preferencjami
