Datasäkerhet och administration av användare

På ett BrewOS-konto finns företagets uppgifter om produktion, kunder, lager och fakturering. Datasäkerheten bygger framför allt på att användarkonton, roller och åtkomster som getts till utomstående applikationer hålls uppdaterade.

Den här guiden sammanställer de viktigaste rutinerna.

Egna inloggningsuppgifter för var och en

Dela inte samma inloggningsuppgifter mellan flera personer. Varje användare bör ha egna inloggningsuppgifter, eftersom:

• var och en kan få en roll som passar uppgiften,
• händelseloggen visar vem som gjorde en ändring,
• en anställd som slutat kan stängas ute utan att de andras inloggningsuppgifter behöver bytas,
• stark autentisering är användarspecifik.

Ägaren lägger till och tar bort användare på sidan Inställningar > Användare. Om en person behöver BrewOS endast som arbetstagare på uppgiftslistor behöver hen inte få någon e-postadress, och då kan hen inte logga in. Se Konton och användare.

Välj en lämplig roll

I BrewOS finns tre roller: Ägare, Basanvändare och Försäljningsanvändare. Mer detaljerade behörigheter, till exempel per avsnitt, finns inte: en basanvändare kommer åt alla kontots funktioner utom inställningarna, även faktureringen och myndighetsrapporterna.

• Ge rollen Ägare endast till personer som ansvarar för kontots inställningar, användare, integrationer och licensköp.
• En försäljningsanvändare kommer endast åt försäljningskatalogen, kunderna och leveranserna. Andra sidor, såsom produktion, lager, fakturering och rapporter, öppnas inte för hen ens med en direkt adress. På kundens sidor ser hen ändå också kundens fakturor och betalningar.

När en persons uppgifter ändras ska du också kontrollera hens roll. Gamla behörigheter blir lätt kvar om de inte gås igenom regelbundet.

Lösenord

• Ett nytt lösenord måste vara minst 10 tecken långt. Använd ett långt lösenord som du inte använder i andra tjänster.
• Lösenorden sparas inte i klartext utan som hashvärden, från vilka lösenordet inte kan återskapas.
• Om fem inloggningsförsök med samma e-postadress från samma IP-adress misslyckas inom 15 minuter (fel lösenord eller fel OTP-kod) spärras inloggningen en stund. Länken för återställning av lösenordet fungerar ändå.
• Lösenordet kan bytas på sidan Mina inloggningsuppgifter.
• Återställningen av lösenordet skickar en inloggningslänk till e-posten som gäller i 24 timmar. Med länken kommer man åt inloggningsuppgifterna utan lösenord och utan OTP-kod. Den som har tillgång till din e-post kommer alltså också åt dina BrewOS-inloggningsuppgifter. Skydda ditt e-postkonto väl.
• Använd valet Kom ihåg inloggningen i denna webbläsare endast på dina egna enheter. En ihågkommen inloggning gäller så länge tjänsten används i webbläsaren minst var 14:e dag.
• Logga alltid ut med länken logga ut i det övre fältet på en enhet som används gemensamt. Sessionen upphör inte av sig själv även om tjänsten inte används, utan först när du loggar ut eller stänger webbläsaren.

Ta i bruk stark autentisering

BrewOS stöder tidsbaserad engångskod, det vill säga TOTP-autentisering. Varje användare tar själv i bruk den på sidan Mina inloggningsuppgifter. Ägaren kan inte tvinga andra att använda den.

Stark autentisering rekommenderas särskilt för ägare samt för användare som hanterar fakturering, myndighetsrapporter eller anslutna applikationer.

Läs den detaljerade guiden: Stark autentisering.

Anslutna applikationer

En OAuth-förbindelse ger en utomstående applikation, till exempel en AI-assistent, möjlighet att agera på BrewOS-kontot med dina behörigheter. Därför lönar det sig att hantera åtkomsterna omsorgsfullt.

• Ge åtkomst endast till applikationer som du behöver och litar på.
• Välj Endast läsa om applikationen inte behöver ändra uppgifter.
• Återkalla applikationens åtkomst så fort den inte längre behövs.
• Kontrollera händelseloggen om du misstänker oväntad användning.

För AI-assistenter skapas inga fasta API-nycklar, utan de ansluts alltid med OAuth-inloggning.

Varje användare ser och kan återkalla endast de åtkomster som hen själv har beviljat. Ägaren ser inte och kan inte återkalla åtkomster som andra användare har beviljat. När en användare tas bort från kontot slutar alla åtkomster som hen har beviljat för det här kontot att fungera omedelbart.

Läs den detaljerade guiden: OAuth och AI-gränssnittet (MCP).

Webbutikernas API-nycklar

Den egna webbutiken ansluts till BrewOS med en API-nyckel som ägaren skapar på sidan Inställningar > Webbutiker. Nyckeln visas bara en gång, och BrewOS sparar endast ett hashvärde av den.

• Ge nyckeln endast till den som bygger webbutiken, och förvara den i webbutikens inställningar, inte till exempel i e-post.
• Om du byter nyckel ska du först skapa den nya nyckeln, byta in den i webbutiken och först därefter återkalla den gamla.
• Återkalla en nyckel genast om den kan ha hamnat i fel händer eller inte längre används.

Se den tekniska beskrivningen av gränssnittet: Webbutiks-API: utvecklarguide.

Filer och offentliga adresser

Filer som sparats i BrewOS öppnas från en offentlig adress utan inloggning, och adresserna till produkternas standardbilder förmedlas också till AI-assistenter och webbutiker. Spara inga känsliga filer i BrewOS. Se Filer.

När en anställd slutar

När en person inte längre behöver tillgång till BrewOS-kontot:

1. Ägaren tar bort personen på sidan Inställningar > Användare. Åtkomsten upphör genast, och samtidigt slutar alla applikationsåtkomster som personen har beviljat för det här kontot att fungera.
2. Kontrollera vid behov personens senaste ändringar i händelseloggen. Observera att efter borttagningen visas endast Borttagen användare som utförare av hens händelser, så det lönar sig att göra kontrollen före borttagningen.
3. Om personen använde gemensamma inloggningsuppgifter till externa tjänster (till exempel faktureringssystemet) ska du byta dem och uppdatera dem i inställningarna.

Inloggningsrätten kan inte tas bort så att personen förblir medlem på kontot. En borttagen person visas inte längre på uppgiftslistorna. Hens lönekostnader och tidigare registreringar finns kvar.

Regelbunden kontroll

Gör åtminstone några gånger per år en kort säkerhetskontroll:

• Är personerna i användarlistan fortfarande rätt?
• Har endast de som behöver den ägarrollen?
• Är stark autentisering i bruk för de centrala användarna?
• Finns det gamla eller okända applikationer på sidan Inställningar > AI-agenter (för varje användare för egen del)?
• Finns det giltiga API-nycklar som inte längre används på sidan Inställningar > Webbutiker?
• Finns det något avvikande i händelseloggen?

Datasäkerhet är inte ett separat projekt, utan en liten del av det vanliga underhållet.

Se också Konton och användare, Mina inloggningsuppgifter, Händelselogg och OAuth och AI-gränssnittet (MCP).