Klucz API EZD RP — uprawnienia i bezpieczeństwo

Klucz API to identyfikator aplikacji (np. systemu FK, systemu rekrutacji), która łączy się z EZD RP. Ale każda operacja zapisu (dodanie dokumentu, zakładanie sprawy) wykonywana jest w kontekście konkretnego użytkownika — to ważne dla audytu i odpowiedzialności.

Klucz API ≠ konto użytkownika

Częsty błąd integratora: traktowanie klucza API jak loginu. To źle:

Klucz API identyfikuje aplikację — daje prawo do łączenia się z EZD RP
Kontekst użytkownika identyfikuje, w czyim imieniu wykonywana jest operacja
Operacja zapisu bez kontekstu użytkownika — najczęściej błąd 403 lub niepełny audyt

Hierarchia uprawnień

Element	Co kontroluje
Klucz API aplikacji	Czy aplikacja może łączyć się z EZD RP. Może mieć scopes (zakresy uprawnień).
Kontekst użytkownika	Co dana operacja może zrobić. Użytkownik widzi tylko swoje sprawy / dokumenty.
Rola użytkownika w EZD RP	Co użytkownik może w systemie (kancelaria, dekretacja, archiwum).
Uprawnienia komórki	W jakim zakresie organizacyjnym użytkownik działa.

Bezpieczeństwo klucza API

Reguły bezpieczeństwa

Klucz API NIGDY w kodzie źródłowym — tylko w secret store (Kubernetes Secret, HashiCorp Vault, env vars)
Klucz API ROTOWANY co 6-12 miesięcy (lub po opuszczeniu zespołu przez kogoś z dostępem)
Klucz API z minimalnymi scopes — tylko to, czego naprawdę potrzeba
Klucz API z nazwą identyfikującą aplikację (np. 'fk-system-prod') — łatwiejszy audyt
Logi użycia klucza monitorowane — alert na nietypową aktywność
Procedura unieważnienia klucza w razie wycieku

Wyciek klucza API = poważny incydent

Klucz API daje dostęp do danych jednostki. Wyciek = obowiązek zgłoszenia incydentu i natychmiastowa rotacja. Nie traktuj klucza jak hasła do mailingu.

Źródła oficjalne

Sprawdzone: 30 maja 2026