Bezpieczeństwo kluczy API i konta InPost – jak chronić dostęp
Mateusz Piotrowicz
Mateusz Piotrowicz
Technical & Logistics Expert
Bezpieczeństwo kluczy API i konta InPost – jak chronić dostęp
Wdrażamy integracje z InPost
Mateusz PiotrowiczTechnical & Logistics Expert
Bezpieczeństwo API InPost to temat, o którym sklepy przypominają sobie zwykle wtedy, gdy coś już się wydarzyło: na koncie pojawiły się przesyłki, których nikt nie tworzył, saldo prepaid zniknęło szybciej niż zwykle, a token API od miesięcy leży w kodzie strony dostępnym dla każdego. Tymczasem token ShipX daje szeroki dostęp do konta firmy – pozwala tworzyć przesyłki na Twój koszt i pobierać etykiety z danymi klientów.
W tym artykule wyjaśniamy, jakie rodzaje dostępu do konta InPost istnieją, czym różni się token API ShipX od tokenu Geowidgetu, jak bezpiecznie przechowywać i udostępniać tokeny, jak zabezpieczyć webhooki i logowanie do Managera Paczek oraz co zrobić, gdy token mógł wyciec. Opieramy się na dokumentacji API ShipX i regulaminie aplikacji Manager Paczek.
Bezpieczeństwo API InPost – trzy rodzaje dostępu
Do konta InPost można dostać się na trzy sposoby, a każdy ma inny poziom ryzyka. Najważniejszy jest login do Managera Paczek, który daje pełny dostęp do konta. Drugi to token API ShipX, używany przez integracje. Trzeci – token Geowidgetu, który służy tylko do wyświetlania mapy punktów w koszyku.
Wykres – trzy rodzaje dostępu do konta InPost [#chart:ip98]
Osobny token dla integracji, bezpieczne przechowywanie, unieważnianie
Token Geowidgetu
Wyświetlanie mapy punktów
W kodzie strony – jest publiczny
Przypisanie do domen sklepu
Według dokumentacji ShipX wszystkie zapytania do API wymagają ważnego tokenu, który należy do właściciela organizacji, a token przekazuje się w nagłówku Authorization. Oznacza to, że każdy, kto zna token i ID organizacji, może wykonywać operacje w imieniu Twojej firmy. Token Geowidgetu jest natomiast z założenia publiczny – dokumentacja wprost to zaznacza – i przypisuje się go do domen, na których działa mapa.
Token API ShipX – zasady przechowywania
Token ShipX generujesz w Managerze Paczek, w zakładce Moje konto > API. Traktuj go jak hasło do konta bankowego firmy. Kilka zasad ogranicza ryzyko wycieku.
token tylko po stronie serwera – nigdy w kodzie frontendu, aplikacji mobilnej ani w adresie URL
przechowywanie w zmiennych środowiskowych lub menedżerze sekretów, a nie w kodzie źródłowym i repozytorium
osobny token dla każdej integracji, opisany tak, żeby było wiadomo, do czego służy
przekazywanie tokenu wykonawcy przez bezpieczny kanał, a nie zwykłym e-mailem czy komunikatorem
unieważnianie tokenów, które przestały być potrzebne – po zmianie wtyczki, systemu czy wykonawcy
[#uwaga] Token ShipX nie wygasa sam z siebie tylko dlatego, że zmieniłeś hasło do Managera Paczek. Jeśli ktoś skopiował token, zmiana hasła nie odetnie mu dostępu do API. Trzeba unieważnić token w zakładce API i wygenerować nowy.
Jak wygenerować token i gdzie go wkleić, opisujemy w artykule token API InPost.
Gdzie trafia token we wtyczkach i systemach
Większość sklepów nie pisze własnej integracji, tylko wkleja token do wtyczki lub systemu do obsługi zamówień. Wtedy token jest przechowywany w bazie danych sklepu albo u dostawcy systemu. Warto wiedzieć, kto ma do niej dostęp: administratorzy sklepu, firma hostingowa, agencja utrzymująca stronę. Wtyczki InPost, np. dla WooCommerce, mają osobne pola na dane produkcyjne i testowe – dane testowe z sandboxu nie dają dostępu do prawdziwego konta, więc to w nich prowadź testy. Konfigurację opisujemy w artykułach InPost w WooCommerce i sandbox ShipX.
Jeśli korzystasz z systemu do obsługi zamówień, zadbaj także o bezpieczeństwo samego systemu – logowanie dwuetapowe, uprawnienia pracowników i dostęp dla agencji. Kto ma dostęp do systemu z podłączonym kontem InPost, ten pośrednio może tworzyć przesyłki na Twój koszt. Piszemy o tym w artykule bezpieczeństwo konta Base.
Bezpieczeństwo API InPost to temat, o którym sklepy przypominają sobie zwykle wtedy, gdy coś już się wydarzyło: na koncie pojawiły się przesyłki, których nikt nie tworzył, saldo prepaid zniknęło szybciej niż zwykle, a token API od miesięcy leży w kodzie strony dostępnym dla każdego. Tymczasem token ShipX daje szeroki dostęp do konta firmy – pozwala tworzyć przesyłki na Twój koszt i pobierać etykiety z danymi klientów.
W tym artykule wyjaśniamy, jakie rodzaje dostępu do konta InPost istnieją, czym różni się token API ShipX od tokenu Geowidgetu, jak bezpiecznie przechowywać i udostępniać tokeny, jak zabezpieczyć webhooki i logowanie do Managera Paczek oraz co zrobić, gdy token mógł wyciec. Opieramy się na dokumentacji API ShipX i regulaminie aplikacji Manager Paczek.
Bezpieczeństwo API InPost – trzy rodzaje dostępu
Do konta InPost można dostać się na trzy sposoby, a każdy ma inny poziom ryzyka. Najważniejszy jest login do Managera Paczek, który daje pełny dostęp do konta. Drugi to token API ShipX, używany przez integracje. Trzeci – token Geowidgetu, który służy tylko do wyświetlania mapy punktów w koszyku.
Wykres – trzy rodzaje dostępu do konta InPost [#chart:ip98]
Osobny token dla integracji, bezpieczne przechowywanie, unieważnianie
Token Geowidgetu
Wyświetlanie mapy punktów
W kodzie strony – jest publiczny
Przypisanie do domen sklepu
Według dokumentacji ShipX wszystkie zapytania do API wymagają ważnego tokenu, który należy do właściciela organizacji, a token przekazuje się w nagłówku Authorization. Oznacza to, że każdy, kto zna token i ID organizacji, może wykonywać operacje w imieniu Twojej firmy. Token Geowidgetu jest natomiast z założenia publiczny – dokumentacja wprost to zaznacza – i przypisuje się go do domen, na których działa mapa.
Token API ShipX – zasady przechowywania
Token ShipX generujesz w Managerze Paczek, w zakładce Moje konto > API. Traktuj go jak hasło do konta bankowego firmy. Kilka zasad ogranicza ryzyko wycieku.
token tylko po stronie serwera – nigdy w kodzie frontendu, aplikacji mobilnej ani w adresie URL
przechowywanie w zmiennych środowiskowych lub menedżerze sekretów, a nie w kodzie źródłowym i repozytorium
osobny token dla każdej integracji, opisany tak, żeby było wiadomo, do czego służy
przekazywanie tokenu wykonawcy przez bezpieczny kanał, a nie zwykłym e-mailem czy komunikatorem
unieważnianie tokenów, które przestały być potrzebne – po zmianie wtyczki, systemu czy wykonawcy
[#uwaga] Token ShipX nie wygasa sam z siebie tylko dlatego, że zmieniłeś hasło do Managera Paczek. Jeśli ktoś skopiował token, zmiana hasła nie odetnie mu dostępu do API. Trzeba unieważnić token w zakładce API i wygenerować nowy.
Jak wygenerować token i gdzie go wkleić, opisujemy w artykule token API InPost.
Gdzie trafia token we wtyczkach i systemach
Większość sklepów nie pisze własnej integracji, tylko wkleja token do wtyczki lub systemu do obsługi zamówień. Wtedy token jest przechowywany w bazie danych sklepu albo u dostawcy systemu. Warto wiedzieć, kto ma do niej dostęp: administratorzy sklepu, firma hostingowa, agencja utrzymująca stronę. Wtyczki InPost, np. dla WooCommerce, mają osobne pola na dane produkcyjne i testowe – dane testowe z sandboxu nie dają dostępu do prawdziwego konta, więc to w nich prowadź testy. Konfigurację opisujemy w artykułach InPost w WooCommerce i sandbox ShipX.
Jeśli korzystasz z systemu do obsługi zamówień, zadbaj także o bezpieczeństwo samego systemu – logowanie dwuetapowe, uprawnienia pracowników i dostęp dla agencji. Kto ma dostęp do systemu z podłączonym kontem InPost, ten pośrednio może tworzyć przesyłki na Twój koszt. Piszemy o tym w artykule bezpieczeństwo konta Base.
Bezpłatna konsultacja wysyłek
Zautomatyzuj wysyłki InPost w swoim sklepie
Analiza obecnego procesu nadawania paczek
Integracja InPost z Base, sklepem i marketplace'ami
Token Geowidgetu jest widoczny w kodzie strony, bo mapa ładuje się w przeglądarce klienta. Dlatego przy jego generowaniu w Managerze Paczek wskazujesz domeny, na których widżet ma działać. Według dokumentacji błąd dostępu przy wyświetlaniu mapy często oznacza, że token został wygenerowany dla innej domeny. Przy testach na komputerze lokalnym dokumentacja zaleca nie wskazywać domeny dla tokenu testowego. Wdrożenie mapy opisujemy w artykule mapa Paczkomatów w koszyku – Geowidget.
Nie myl tokenu Geowidgetu z tokenem ShipX. Wklejenie tokenu ShipX w miejsce tokenu mapy to częsty błąd przy samodzielnych wdrożeniach – a skutkiem jest publiczne udostępnienie klucza do tworzenia przesyłek na koszt firmy.
Webhooki – jak je zabezpieczyć
Webhooki to powiadomienia, które InPost wysyła na adres Twojego serwera po zmianie statusu przesyłki. Według dokumentacji ShipX dotyczącej webhooków adres musi być poprawnym URL-em, zasób musi być dostępny i odpowiadać kodem HTTP 200 na zapytanie GET. Webhooki są wysyłane z zakresu adresów IP 91.216.25.0/24 – zarówno w produkcji, jak i w sandboxie.
Zabezpieczenie
Po co
Jak wdrożyć
Adres HTTPS
Szyfrowanie danych przesyłek w drodze
Certyfikat na serwerze, adres webhooka zaczynający się od https
Filtrowanie adresów IP
Przyjmowanie powiadomień tylko z zakresu InPost
Reguła zapory dla 91.216.25.0/24
Weryfikacja treści
Ochrona przed fałszywymi powiadomieniami
Sprawdzenie, czy przesyłka z powiadomienia istnieje na Twoim koncie
Nieprzewidywalny adres
Utrudnienie wysyłania fałszywych zapytań
Ścieżka adresu, której nie da się łatwo zgadnąć
Nawet przy filtrowaniu IP warto, żeby system nie ufał ślepo treści webhooka. Przed zmianą statusu zamówienia sprawdź przesyłkę w API – wtedy fałszywe powiadomienie nie oznaczy zamówienia jako doręczonego. O aktualizacji statusów piszemy w artykule śledzenie statusów InPost przez API.
Logowanie do Managera Paczek
Login do Managera Paczek daje pełny dostęp do konta – także do generowania nowych tokenów. Regulamin aplikacji Manager Paczek obowiązujący od 17 września 2026 r. przewiduje logowanie loginem i hasłem albo kontem InPost z uwierzytelnianiem wieloskładnikowym (2FA) i zaleca tę drugą metodę jako lepszą ochronę przed nieuprawnionym dostępem. Regulamin wyłącza też odpowiedzialność InPost m.in. za skutki udostępnienia dostępu do konta lub ujawnienia hasła oraz zaleca używanie innego hasła niż na innych stronach.
W praktyce: konto zakładaj na firmowy adres e-mail (regulamin nie pozwala go później zmienić bez zakładania nowego konta), przejdź na logowanie z 2FA i nie udostępniaj loginu pracownikom ani wykonawcom. Pracownikom daj dostęp przez wtyczkę lub system zamówień z rolami – piszemy o tym w artykule użytkownicy w Managerze Paczek.
Dostęp dla wykonawców i dostawców
Firmy wdrożeniowe, programiści, operatorzy magazynów i dostawcy w dropshippingu często potrzebują dostępu do wysyłek. Zamiast przekazywać login i hasło, wygeneruj dla nich osobny token i unieważnij go po zakończeniu współpracy. Jeśli dostawca nadaje przesyłki na Twoim koncie, osobny token pozwala odciąć tylko jego dostęp bez wpływu na resztę integracji. Zobacz dropshipping z InPost.
[#przyklad] Sklep zmienił firmę, która utrzymywała integrację z InPost. Poprzedni wykonawca miał token zapisany w swoim systemie i w kilku plikach konfiguracyjnych. Sklep wygenerował nowy token dla nowej integracji, przełączył konfigurację, sprawdził tworzenie przesyłek i dopiero wtedy unieważnił stary token. Przy okazji okazało się, że w zakładce API były jeszcze dwa tokeny z dawno wyłączonych wtyczek – również zostały unieważnione.
Środowisko testowe i dane produkcyjne
Dobrą praktyką bezpieczeństwa jest rozdzielenie środowisk. API ShipX ma osobne środowisko testowe z własnym Managerem Paczek i własnymi tokenami – dokumentacja zaznacza, że dane produkcyjne w nim nie działają. Programiści i wykonawcy powinni pracować na danych testowych, a token produkcyjny powinien trafiać tylko do działającej integracji. Dzięki temu nawet jeśli dane testowe wyciekną z komputera programisty, nie dają dostępu do prawdziwego salda ani danych klientów. Testowe zamówienia twórz na fikcyjnych danych, a nie na kopiach prawdziwych zamówień klientów.
Gdy token mógł wyciec
Wykres – kroki postępowania, gdy token API mógł wyciec [#chart:ip98b]
Najważniejsza zasada: reaguj od razu. Unieważnij token, nawet jeśli nie masz pewności, że ktoś go użył – wygenerowanie nowego i aktualizacja integracji zajmują kilka minut. Potem przejrzyj listę przesyłek i historię operacji na koncie, szukając przesyłek, których nie tworzył sklep. Jeśli tokenem mogły zostać pobrane etykiety z danymi klientów, oceń, czy doszło do naruszenia ochrony danych osobowych – o obowiązkach z RODO piszemy w artykule RODO przy wysyłce.
[#checklista] Raz na kwartał sprawdź: kto ma login do Managera Paczek i czy logowanie odbywa się z 2FA; ile tokenów jest w zakładce API i do czego służy każdy z nich; czy token ShipX nie występuje w kodzie frontendu ani w repozytorium; czy token Geowidgetu jest przypisany tylko do Twoich domen; czy webhook działa po HTTPS i przyjmuje ruch tylko z zakresu InPost; czy byli pracownicy i wykonawcy nie mają już dostępu.
Najczęściej zadawane pytania
Czym różni się token ShipX od tokenu Geowidgetu?
Token ShipX daje dostęp do operacji na koncie – tworzenia przesyłek, etykiet, zleceń odbioru – i musi być chroniony. Token Geowidgetu jest publiczny, służy tylko do wyświetlania mapy punktów i jest przypisany do domen sklepu.
Czy token API InPost może być w kodzie strony?
Token ShipX – nie. Powinien być używany wyłącznie po stronie serwera. W kodzie strony może być tylko token Geowidgetu.
Czy zmiana hasła do Managera Paczek unieważnia token API?
Nie należy na tym polegać. Jeśli token mógł wyciec, unieważnij go w zakładce API w Managerze Paczek i wygeneruj nowy.
Jak zabezpieczyć webhooki InPost?
Używaj adresu HTTPS, przyjmuj ruch tylko z zakresu IP 91.216.25.0/24, z którego według dokumentacji są wysyłane webhooki, i weryfikuj przesyłkę w API przed zmianą statusu zamówienia.
Jak dać dostęp do wysyłek firmie zewnętrznej?
Przez osobny token API dla integracji, którą konfiguruje, albo przez konto w systemie zamówień. Nie przekazuj loginu i hasła do Managera Paczek. Po zakończeniu współpracy unieważnij token.
Czy Manager Paczek obsługuje logowanie dwuetapowe?
Tak. Według regulaminu aplikacji od 17 września 2026 r. można logować się kontem InPost z uwierzytelnianiem wieloskładnikowym (2FA), które regulamin zaleca jako lepszą ochronę konta.
Podsumowanie
Bezpieczeństwo API InPost sprowadza się do kilku zasad: login do Managera Paczek chroniony 2FA i nieudostępniany, token ShipX tylko po stronie serwera i osobny dla każdej integracji, token Geowidgetu przypisany do domen, webhooki po HTTPS z filtrowaniem IP i weryfikacją treści. Regularnie przeglądaj dostępy, a przy podejrzeniu wycieku od razu unieważnij token – to kilka minut pracy, które chronią saldo, dane klientów i reputację sklepu przed znacznie poważniejszymi skutkami.
Wdrażamy i obsługujemy wysyłki InPost w sklepach internetowych – w tym bezpieczną konfigurację tokenów, webhooków i dostępów dla pracowników oraz wykonawców. Sprawdź wdrożenie Base z automatyzacją wysyłek.
Token Geowidgetu i domeny
Token Geowidgetu jest widoczny w kodzie strony, bo mapa ładuje się w przeglądarce klienta. Dlatego przy jego generowaniu w Managerze Paczek wskazujesz domeny, na których widżet ma działać. Według dokumentacji błąd dostępu przy wyświetlaniu mapy często oznacza, że token został wygenerowany dla innej domeny. Przy testach na komputerze lokalnym dokumentacja zaleca nie wskazywać domeny dla tokenu testowego. Wdrożenie mapy opisujemy w artykule mapa Paczkomatów w koszyku – Geowidget.
Nie myl tokenu Geowidgetu z tokenem ShipX. Wklejenie tokenu ShipX w miejsce tokenu mapy to częsty błąd przy samodzielnych wdrożeniach – a skutkiem jest publiczne udostępnienie klucza do tworzenia przesyłek na koszt firmy.
Webhooki – jak je zabezpieczyć
Webhooki to powiadomienia, które InPost wysyła na adres Twojego serwera po zmianie statusu przesyłki. Według dokumentacji ShipX dotyczącej webhooków adres musi być poprawnym URL-em, zasób musi być dostępny i odpowiadać kodem HTTP 200 na zapytanie GET. Webhooki są wysyłane z zakresu adresów IP 91.216.25.0/24 – zarówno w produkcji, jak i w sandboxie.
Zabezpieczenie
Po co
Jak wdrożyć
Adres HTTPS
Szyfrowanie danych przesyłek w drodze
Certyfikat na serwerze, adres webhooka zaczynający się od https
Filtrowanie adresów IP
Przyjmowanie powiadomień tylko z zakresu InPost
Reguła zapory dla 91.216.25.0/24
Weryfikacja treści
Ochrona przed fałszywymi powiadomieniami
Sprawdzenie, czy przesyłka z powiadomienia istnieje na Twoim koncie
Nieprzewidywalny adres
Utrudnienie wysyłania fałszywych zapytań
Ścieżka adresu, której nie da się łatwo zgadnąć
Nawet przy filtrowaniu IP warto, żeby system nie ufał ślepo treści webhooka. Przed zmianą statusu zamówienia sprawdź przesyłkę w API – wtedy fałszywe powiadomienie nie oznaczy zamówienia jako doręczonego. O aktualizacji statusów piszemy w artykule śledzenie statusów InPost przez API.
Logowanie do Managera Paczek
Login do Managera Paczek daje pełny dostęp do konta – także do generowania nowych tokenów. Regulamin aplikacji Manager Paczek obowiązujący od 17 września 2026 r. przewiduje logowanie loginem i hasłem albo kontem InPost z uwierzytelnianiem wieloskładnikowym (2FA) i zaleca tę drugą metodę jako lepszą ochronę przed nieuprawnionym dostępem. Regulamin wyłącza też odpowiedzialność InPost m.in. za skutki udostępnienia dostępu do konta lub ujawnienia hasła oraz zaleca używanie innego hasła niż na innych stronach.
W praktyce: konto zakładaj na firmowy adres e-mail (regulamin nie pozwala go później zmienić bez zakładania nowego konta), przejdź na logowanie z 2FA i nie udostępniaj loginu pracownikom ani wykonawcom. Pracownikom daj dostęp przez wtyczkę lub system zamówień z rolami – piszemy o tym w artykule użytkownicy w Managerze Paczek.
Dostęp dla wykonawców i dostawców
Firmy wdrożeniowe, programiści, operatorzy magazynów i dostawcy w dropshippingu często potrzebują dostępu do wysyłek. Zamiast przekazywać login i hasło, wygeneruj dla nich osobny token i unieważnij go po zakończeniu współpracy. Jeśli dostawca nadaje przesyłki na Twoim koncie, osobny token pozwala odciąć tylko jego dostęp bez wpływu na resztę integracji. Zobacz dropshipping z InPost.
[#przyklad] Sklep zmienił firmę, która utrzymywała integrację z InPost. Poprzedni wykonawca miał token zapisany w swoim systemie i w kilku plikach konfiguracyjnych. Sklep wygenerował nowy token dla nowej integracji, przełączył konfigurację, sprawdził tworzenie przesyłek i dopiero wtedy unieważnił stary token. Przy okazji okazało się, że w zakładce API były jeszcze dwa tokeny z dawno wyłączonych wtyczek – również zostały unieważnione.
Środowisko testowe i dane produkcyjne
Dobrą praktyką bezpieczeństwa jest rozdzielenie środowisk. API ShipX ma osobne środowisko testowe z własnym Managerem Paczek i własnymi tokenami – dokumentacja zaznacza, że dane produkcyjne w nim nie działają. Programiści i wykonawcy powinni pracować na danych testowych, a token produkcyjny powinien trafiać tylko do działającej integracji. Dzięki temu nawet jeśli dane testowe wyciekną z komputera programisty, nie dają dostępu do prawdziwego salda ani danych klientów. Testowe zamówienia twórz na fikcyjnych danych, a nie na kopiach prawdziwych zamówień klientów.
Gdy token mógł wyciec
Wykres – kroki postępowania, gdy token API mógł wyciec [#chart:ip98b]
Najważniejsza zasada: reaguj od razu. Unieważnij token, nawet jeśli nie masz pewności, że ktoś go użył – wygenerowanie nowego i aktualizacja integracji zajmują kilka minut. Potem przejrzyj listę przesyłek i historię operacji na koncie, szukając przesyłek, których nie tworzył sklep. Jeśli tokenem mogły zostać pobrane etykiety z danymi klientów, oceń, czy doszło do naruszenia ochrony danych osobowych – o obowiązkach z RODO piszemy w artykule RODO przy wysyłce.
[#checklista] Raz na kwartał sprawdź: kto ma login do Managera Paczek i czy logowanie odbywa się z 2FA; ile tokenów jest w zakładce API i do czego służy każdy z nich; czy token ShipX nie występuje w kodzie frontendu ani w repozytorium; czy token Geowidgetu jest przypisany tylko do Twoich domen; czy webhook działa po HTTPS i przyjmuje ruch tylko z zakresu InPost; czy byli pracownicy i wykonawcy nie mają już dostępu.
Najczęściej zadawane pytania
Czym różni się token ShipX od tokenu Geowidgetu?
Token ShipX daje dostęp do operacji na koncie – tworzenia przesyłek, etykiet, zleceń odbioru – i musi być chroniony. Token Geowidgetu jest publiczny, służy tylko do wyświetlania mapy punktów i jest przypisany do domen sklepu.
Czy token API InPost może być w kodzie strony?
Token ShipX – nie. Powinien być używany wyłącznie po stronie serwera. W kodzie strony może być tylko token Geowidgetu.
Czy zmiana hasła do Managera Paczek unieważnia token API?
Nie należy na tym polegać. Jeśli token mógł wyciec, unieważnij go w zakładce API w Managerze Paczek i wygeneruj nowy.
Jak zabezpieczyć webhooki InPost?
Używaj adresu HTTPS, przyjmuj ruch tylko z zakresu IP 91.216.25.0/24, z którego według dokumentacji są wysyłane webhooki, i weryfikuj przesyłkę w API przed zmianą statusu zamówienia.
Jak dać dostęp do wysyłek firmie zewnętrznej?
Przez osobny token API dla integracji, którą konfiguruje, albo przez konto w systemie zamówień. Nie przekazuj loginu i hasła do Managera Paczek. Po zakończeniu współpracy unieważnij token.
Czy Manager Paczek obsługuje logowanie dwuetapowe?
Tak. Według regulaminu aplikacji od 17 września 2026 r. można logować się kontem InPost z uwierzytelnianiem wieloskładnikowym (2FA), które regulamin zaleca jako lepszą ochronę konta.
Podsumowanie
Bezpieczeństwo API InPost sprowadza się do kilku zasad: login do Managera Paczek chroniony 2FA i nieudostępniany, token ShipX tylko po stronie serwera i osobny dla każdej integracji, token Geowidgetu przypisany do domen, webhooki po HTTPS z filtrowaniem IP i weryfikacją treści. Regularnie przeglądaj dostępy, a przy podejrzeniu wycieku od razu unieważnij token – to kilka minut pracy, które chronią saldo, dane klientów i reputację sklepu przed znacznie poważniejszymi skutkami.
Wdrażamy i obsługujemy wysyłki InPost w sklepach internetowych – w tym bezpieczną konfigurację tokenów, webhooków i dostępów dla pracowników oraz wykonawców. Sprawdź wdrożenie Base z automatyzacją wysyłek.
Czy ten artykuł był pomocny? Oceń go
Bądź pierwszą osobą, która oceni
Mateusz Piotrowicz
Technical & Logistics Expert
Optymalizuje logistykę, magazyn i wysyłki sprzedawców. Skupia się na kosztach i terminowości dostaw.
Optymalizuje logistykę, magazyn i wysyłki sprzedawców. Skupia się na kosztach i terminowości dostaw.
★★★★★
Współpracowałeś z Vinson?
Twoja opinia pomoże innym sprzedawcom wybrać sprawdzoną agencję. Zajmie Ci to minutę.
