Acces delegat
Adăugați un dezvoltator, transferați facturarea contabilului dumneavoastră, oferiți unui client acces doar pentru citire la propriile site-uri sau permiteți echipei noastre de asistență să investigheze o problemă. Fiecare atribuire este un rol cu permisiuni definite, circumscris unei organizații, aplicat în baza de date și înregistrat într-un jurnal de auditare de tip doar-adăugare.
Partajarea unei singure autentificări este modul în care accesul la cont poate eșua. Pe Zinn Digital®, fiecare persoană are propria identitate, iar accesul este un statut de membru — un utilizator, o organizație și un rol — pe care îl puteți acorda, modifica sau revoca individual.
Fiecare colaborator se conectează în nume propriu prin Keycloak, nivelul nostru de identitate. Nimeni nu introduce parola dumneavoastră, nimeni nu partajează o sesiune de browser, iar eliminarea unei persoane este o singură acțiune, nu o rotație a parolelor și o căutare agitată pentru a afla cine o mai știa.
Conturile sunt ierarhice — o organizație de revânzător conține organizații de clienți, iar organizațiile de clienți conțin site-uri. Un abonament se aplică unei organizații și tuturor elementelor subordonate acesteia, astfel încât puteți ceda unui client de agenție controlul asupra propriei organizații fără a vă expune vreodată ceilalți clienți.
Separarea clienților nu este un filtru în codul aplicației pe care o eroare l-ar putea omite. Postgres Row-Level Security limitează fiecare interogare la subarborele organizației apelantului, astfel încât o solicitare din afara domeniului dumneavoastră nu are nimic de returnat.
Dacă solicitați o organizație sau un site din afara domeniului dumneavoastră de competență, API-ul va răspunde cu un simplu mesaj de negăsit în loc de o eroare de permisiune. O eroare de permisiune ar confirma existența înregistrării; mesajul de negăsit nu oferă niciun fel de informații unei persoane din exterior.
Permisiunile sunt chei granulare — modul plus acțiune, cum ar fi sites.restart sau billing.refund — iar rolurile le grupează. Patru roluri acoperă nevoile reale ale echipelor, și fiecare dintre ele reprezintă date pe care le precompletăm noi, nu logică îngropată în cod.
Control total: creați organizații secundare, invitați și eliminați membri, schimbați roluri, gestionați chei API, creați, reporniți, curățați, suspendați și ștergeți site-uri, gestionați facturarea și facturile, deschideți tichete și citiți jurnalul de audit. Rolul pe care îl păstrați pentru dumneavoastră.
Vede organizația, membrii acesteia și catalogul de planuri, și gestionează facturile, metodele de plată și taxele. Fără acces pentru a crea, modifica sau șterge vreun site — exact profilul pe care ar trebui să îl aibă un contabil extern.
Vizualizează și creează site-uri, repornește servicii, golește memoria cache, gestionează cheile API și se ocupă de tichete. Excluse în mod deliberat: facturarea, facturile, metodele de plată, gestionarea membrilor, suspendarea site-urilor și ștergerea site-urilor. Un colaborator poate construi fără a vă putea factura sau distruge ceva.
Vede organizația, membrii săi, site-urile sale, facturarea sa, catalogul de planuri, tichetele, starea traducerii și jurnalul de audit — și nu poate modifica nimic. Permisiunea potrivită pentru un client care dorește vizibilitate, un auditor sau o parte interesată care are nevoie doar să consulte.
Delegarea accesului este sigură doar dacă conturile către care delegați sunt greu de preluat. Autentificarea se realizează prin Keycloak pentru fiecare persoană din cont, pe fiecare suprafață.
Activitatea de asistență tehnică presupune uneori accesarea contului dumneavoastră. Acest acces este reglementat de același model de permisiuni ca orice altceva — membrii personalului fac pur și simplu parte dintr-o organizație a personalului, organizată în departamente cu drepturi restrânse.
Personalul este grupat în Asistență, Facturare și Finanțe, Abuz și Încredere și Siguranță, Vânzări, Integrare, Inginerie și Operațiuni, Marketing și Management. Fiecare rol acordă acces la module și acțiuni specifice, astfel încât un agent vede doar partea din consola de administrare necesară activității sale, nu și restul.
Rolul Support Agent acordă exact următoarele: vizualizarea clienților, vizualizarea și răspunsul la tichete, vizualizarea site-urilor, repornirea unui site și golirea memoriei cache a acestuia. Acesta nu include configurarea facturării, rambursări, editarea planurilor și nici gestionarea flotei. Remedierea pe care o poate efectua un agent este limitată de rol, nu de bunele intenții.
Permisiunea customer.impersonate nu face parte din rolul Manager — aceasta este deținută exclusiv de Super Admin. Când o sesiune rulează în numele dumneavoastră, tabloul de bord afișează un banner persistent de personificare, astfel încât să nu fie niciodată ambiguu cine acționează.
Fiecare acțiune privilegiată și administrativă este adăugată într-un jurnal de audit de tip append-only, care înregistrează autorul, acțiunea, ținta, metadatele asociate, adresa IP și marcajul temporal — partiționat în funcție de timp în producție. Proprietarii și membrii cu permisiuni doar de citire pot citi singuri jurnalul organizației lor.
Acțiunile sensibile și distructive ale personalului pot necesita o autentificare suplimentară sau aprobarea a două persoane înainte de a fi executate, iar noile departamente și roluri țin de configurare, nu de modificarea codului.
Scripturile, conductele CI, interfața CLI, furnizorul Terraform și agenții AI se autentifică toți prin același model de permisiuni ca și utilizatorii umani — fără acreditări umane partajate, fără secrete de lungă durată inserate într-un build.
Cheile aparțin unei organizații și includ permisiuni granulare asociate acelorași permisiuni RBAC — doar citire, facturare, provizionare. Acordați unei conducte de integrare domeniul restrâns de care are nevoie, mai degrabă decât întregul cont al unui membru.
Cheile pentru modul de testare și modul live sunt distincte, astfel încât o integrare în curs de dezvoltare nu poate accesa datele de producție din greșeală sau printr-o variabilă de mediu copiată.
Stocăm un hash SHA-256 al secretului și un prefix de căutare — niciodată cheia brută. Vedeți o cheie o singură dată, la creare. Fiecare cheie monitorizează când a fost utilizată ultima dată și poate fi revocată individual, fără a perturba nimic altceva.
Serverul nostru MCP permite oricărui agent compatibil MCP să vă gestioneze găzduirea în limbaj natural, autentificat cu OAuth 2.1 și limitat la organizația și rolul dumneavoastră RBAC, cu tokenuri revocabile pentru fiecare instrument, confirmare pentru acțiunile distructive, limite de cheltuieli și jurnalizare completă a auditului.
Accesul la cont și accesul la server sunt probleme diferite. Credențialele la nivel de site sunt gestionate în tabloul de bord, emise cu privilegii minime și izolate astfel încât shell-ul unui colaborator să fie shell-ul unui singur site.
Un operator solo păstrează o singură organizație și o singură calitate de proprietar și adaugă un rol de dezvoltator atunci când un contractant se alătură unui proiect. Când proiectul se încheie, calitatea de membru este eliminată, iar conectarea acestuia încetează imediat să mai funcționeze — nu rămân date de autentificare partajate care să necesite rotire.
O agenție utilizează structura arborescentă a organizației. Fiecare client primește propria organizație subordonată, care conține site-urile acelui client, iar membrii echipei clientului primesc calitatea de membru acolo — doar în citire pentru o parte interesată care dorește vizibilitate, proprietar pentru un client care dorește să se autogestioneze. Personalul dumneavoastră deține calitatea de membru la niveluri superioare ale arborelui și vede întregul portofoliu; un client își vede doar propria ramură, iar securitatea la nivel de rând (Row-Level Security) este ceea ce transformă acest lucru într-o realitate, nu doar într-o promisiune.
Un reseller funcționează în același mod, cu un nivel mai sus: o organizație reseller deține organizații client, fiecare având propriii membri, propria vizualizare de facturare și propriile site-uri. Același element de bază alimentează subconturile, echipele de agenție și ierarhiile de reselleri — nu există un mecanism separat și mai slab pentru niciunul dintre acestea.
Totul este disponibil în perioada de probă de 14 zile, fără a fi necesar un card. Înregistrați-vă fără detalii de plată, invitați un coleg, urmăriți ce poate și ce nu poate accesa fiecare rol și consultați propriul jurnal de audit.
În prezent, un abonament își acordă rolul la nivelul unei organizații și asupra tuturor elementelor situate sub aceasta în ierarhie, astfel încât modalitatea de a separa seturile de site-uri este separarea organizațiilor — plasați acele site-uri în propria organizație subordonată și acordați abonamentul acolo. Este un model clar pentru agenții și revânzători, unde fiecare client dorește deja propria limită. Restrângerea resurselor per abonament, prin asocierea unui singur abonament la site-uri desemnate din cadrul unei organizații, este o îmbunătățire planificată, nu o funcționalitate disponibilă acum.
Rolul de Dezvoltator nu include ștergerea sau suspendarea site-ului — aceste drepturi aparțin rolului de Proprietar. Acesta acordă permisiunea de a vizualiza și crea site-uri, de a reporni servicii, de a curăța memoria cache, de a gestiona chei API și de a lucra la tichete. Permisiunile de implementare și de publicare în producție nu fac parte din atribuțiile Dezvoltatorului, astfel încât promovarea în producție rămâne la proprietarul contului. Asociați acest lucru cu un mediu de testare (staging), astfel încât lucrările de dezvoltare să se desfășoare în primul rând în afara site-ului activ.
Depinde în totalitate de rolul membrului echipei, iar fiecare rol este un set restrâns de chei de permisiuni. Un agent de asistență, de exemplu, poate vizualiza contul și site-urile dumneavoastră, poate vizualiza și răspunde la tichetele dumneavoastră, poate reporni un site și îi poate goli memoria cache — și nu poate modifica setările de facturare, rambursările, planurile sau flota. Conectarea în numele unui client este o permisiune separată deținută doar de Super Admin, iar atunci când se întâmplă acest lucru, panoul de control afișează un banner persistent de personificare. Fiecare acțiune privilegiată este înregistrată în jurnalul de audit împreună cu autorul, acțiunea, ținta, adresa IP și marcajul temporal, iar dumneavoastră puteți consulta personal jurnalul organizației dumneavoastră.
Eliminați calitatea de membru și accesul acestora la organizația respectivă se încheie — își păstrează în continuare identitatea, dar nu au niciun rol și, prin urmare, nicio permisiune în contul dumneavoastră. Cheile API sunt revocate individual, astfel încât o cheie de pipeline poate fi eliminată fără a perturba altceva. Dacă utilizați autentificarea unică SAML, deprovizionarea în furnizorul dumneavoastră de identitate gestionează autentificarea în mod centralizat. Acreditările la nivel de site, cum ar fi cheile SSH, sunt revocate în tabloul de bord, iar eliminarea în sine este înregistrată în jurnalul de audit.
Nu — dar merită să explicăm cu exactitate de ce. Cheile API aparțin organizației, nu unui membru individual, și au propriile domenii granulare legate de același catalog de permisiuni. Așadar, în loc să înmânați o cheie unei persoane, creați o cheie pentru sarcina pe care o îndeplinește, cu cel mai restrâns domeniu de care are nevoie acea sarcină, și revocați acea cheie la finalizarea sarcinii. Se stochează doar un hash al secretului, iar fiecare cheie înregistrează momentul ultimei sale utilizări, astfel încât cheile neutilizate să fie ușor de găsit și de retras.
Da. Serverul nostru MCP autentifică agenții prin OAuth 2.1 și le limitează accesul la organizația dumneavoastră și la rolul dumneavoastră RBAC, utilizând tokenuri revocabile per instrument, astfel încât să acordați o capacitate specifică în loc de acces general. Acțiunile distructive necesită confirmare, se aplică limite de cheltuieli, iar fiecare acțiune ajunge în același jurnal de audit ca activitatea umană.
Securitatea la nivel de rând (Row-Level Security) din Postgres restricționează interogările la subarborele organizației apelantului chiar în baza de date, filtrul de la nivel de aplicație servind ca apărare în profunzime, nu ca singură linie de protecție. Solicitările pentru înregistrări din afara domeniului returnează eroare de tip „negăsit” în loc de eroare de permisiune, astfel încât să nu fie dezvăluit nimic despre ceea ce există. Pe partea de server, izolarea la nivel de site prin CageFS păstrează shell-ul și fișierele fiecărui locatar doar pe propriul site.
Da. Perioada de probă de 14 zile nu necesită card — fără detalii de plată, fără angajamente — și include găzduirea Footprint-Free pentru până la cinci site-uri. Este suficient pentru a invita un coleg, a atribui un rol și a confirma că delimitările funcționează așa cum aveți nevoie înainte de a vă lua un angajament.
Începeți cu perioada de probă de 14 zile fără a introduce un card, invitați un utilizator și urmăriți cum își face treaba modelul de permisiuni — roluri pe care le puteți numi, domenii pe care le puteți revoca și un jurnal de audit care arată cu exactitate cine ce a făcut.
Începeți gratuit