A legtöbb webshop nem egyedül dolgozik: a számlázó programnak, a raktárkezelőnek, az árfigyelőnek vagy a marketplace-összekötőnek kell valamilyen út, amin eléri a rendeléseket és a termékeket. A PrestaShopban ez az út a webszolgáltatás (webservice), és egy kulccsal nyílik.
A kulcs nem jelszóval működik: maga a kulcs a belépő. Aki ismeri, az pontosan annyit tud a webshop adataival kezdeni, amennyit a kulcs jogai engednek. Ezért érdemes időről időre átnézni, hány kulcs él, kié, mihez fér hozzá, és használja-e még valaki egyáltalán.
Nem értek a technikáhozMagyarán mondva: miről szól a kulcs-átvizsgálás?
A webshophoz külső programok is csatlakoznak: a számlázó, a könyvelői szoftver, a raktár, néha egy korábbi fejlesztő saját eszköze. Mindegyik kap egy kulcsot, amivel beléphet az adatokhoz.
Ezek a kulcsok maguktól nem járnak le. Egy felmondott szerződés, egy lezárt fejlesztés vagy egy lecserélt szoftver után a kulcs sokszor ott marad, és ugyanúgy működik, mint az első napon.
A teendő: elkérni a kulcsok listáját, és végignézni, melyik mire való. Ami nem azonosítható vagy nem használt, az letiltható. Az alábbi szöveg továbbküldhető annak, aki a webshopot karbantartja.
Kérdések a webshop karbantartójának
Hány webszolgáltatás-kulcs (webservice key) él a webshopon, és melyik melyik programhoz tartozik? Mihez fér hozzá külön-külön: rendelés, vásárló, termék, csak olvasás vagy írás is? Több webshop esetén melyik kulcs melyik webshopra érvényes? Van-e köztük olyan, amit már nem használ senki, és letiltható? A 9-es ágon használ-e a webshop Admin API-klienst, és ha igen, kinek adtuk ki?
Mi az a webszolgáltatás-kulcs, és mit nyit meg?
A PrestaShop a külső programoknak egy saját felületet ad, amely a webshop címe alatt, az /api/ útvonalon érhető el. Ezen keresztül kérdezhető le és módosítható a rendelés, a vásárló, a termék, a készlet és még jó néhány adatkör.
A felület alapértelmezés szerint ki van kapcsolva, és a back office Speciális paraméterek > Webszolgáltatás oldalán kapcsolható be. Minden csatlakozó program külön kulcsot kap, amely egy 32 karakteres szöveg. A dokumentáció itt egy fontos dolgot mond ki: jelszó nincs hozzá, a kulcs önmagában a belépő. Emiatt a PrestaShop saját leírása is kiemeli, hogy a kulcs jogaira és arra, hogy kinek adjuk ki, külön figyelni kell.
A jogosultság nem egyben jár: erőforrásonként és műveletenként állítható. Lehet olyan kulcs, amelyik a termékeket csak olvassa, a rendeléseket pedig írja is, és olyan is, amelyik a vásárlói adatokhoz egyáltalán nem fér hozzá. A dokumentáció ajánlása ebben egyértelmű: egyetlen kulcsnak se adjunk minden jogot minden adatkörre.
Egy meglévő kulcs jogai utólag is megtekinthetők: a webshop /api/ címét az adott kulccsal lekérdezve a válasz felsorolja, mely adatkörökhöz és milyen joggal fér hozzá.
Miért most érdemes átnézni a kulcsokat?
A 2026. november 9-i PrestaShop biztonsági kiadásban két javítás éppen a webszolgáltatást érinti, és mindkettő a többwebshopos telepítésekről szól. Az egyik (CVE-2026-71519) azt zárja ki, hogy egy kulcs a saját webshopján kívüli vásárló adatához nyúljon, mert a webshop-ellenőrzés rekord szinten hiányzott. A másik (CVE-2026-71531) azt, hogy egy kérés az id_shop=all paraméterrel kilépjen abból a körből, amelyre a kulcsot kiadták.
A javítás a frissítéssel kerül fel, a kulcsok rendbetétele viszont ettől független munka: a frissítés nem tilt le egy olyan kulcsot, amelyet egy éve senki nem használ, és nem szűkíti egy régi integráció jogait sem.
Mi változik a 9-es ág Admin API-jával?
A 9-es ágban a klasszikus webszolgáltatás mellett megjelent az Admin API, amely alapértelmezés szerint be van kapcsolva. Itt már nem egyetlen kulcs a belépő: a csatlakozó program OAuth2-vel jegyet kér, a jogokat pedig hatókörök írják le. Éles üzemmódban ez csak HTTPS-en működik.
A gyakorlatban ez két új kérdést hoz a listára. Az egyik, hogy hány API-kliens van felvéve, és melyik kinek szól; erről a webshop a /admin-api/api-client/infos végponton ad felvilágosítást, a kliens nevével és azzal, hogy engedélyezett-e. A másik, hogy a kliensnek adott hatókörök mennyire szűkek.
Ugyanez a novemberi kiadás az Admin API két hibáját is javítja: korábban a letiltott kliens hozzáférése nem szűnt meg azonnal, és az írási joggal rendelkező kliens magának további hatóköröket adhatott. Aki a 9-es ágon API-klienst használ, annak a frissítés után érdemes a kliens-listát is átnéznie.
Hogyan néz ki egy rendben lévő kulcs-nyilvántartás?
Nem kell hozzá külön rendszer, egy táblázat elég. Minden élő kulcshoz tartozzon négy adat:
- Kinek szól. A kulcs leírás-mezője erre való; ide a program és a partner neve kerül, ne az legyen, hogy „teszt”.
- Mihez fér hozzá. Adatkörönként, és műveletenként: olvas, ír, töröl.
- Melyik webshopon. Több webshop esetén a kulcshoz webshop-hozzárendelés tartozik; ez a mező csak többwebshopos módban látszik, és üresen hagyva később nehezen magyarázható hozzáférést ad.
- Használja-e még valaki. Ha a kulcs mögötti program már nem él, a kulcs állapota átállítható letiltottra. A letiltás visszafordítható, a törlés nem.
A felülvizsgálat természetes időpontja a szerződésbontás egy fejlesztővel vagy ügynökséggel, egy szoftvercsere, illetve a mostanihoz hasonló biztonsági frissítés.
Mi a teendő a frissítés mellett?
Ha a webshopon nem fut a 2026. november 9-i javítás, az az első lépés. Ha a frissítés most nem fér bele, a javítások a futó verzióba is átültethetők: az érintett fájlok a javított változatra cserélődnek, a webshop többi része marad. Ezt végzi a PrestaShop biztonsági javítások modul, előbb mentéssel, hogy minden javítás visszavonható legyen. Hogy egy adott webshopot mely hibák érintik, azt a PrestaShop biztonsági vizsgálat modul mutatja meg.
Mit érdemes most tenni?
- Kérje el a kulcsok listáját a webshop karbantartójától, a leírás-mezővel együtt.
- Nevezze meg mindegyiket. Amelyikhez nem tartozik program vagy partner, az gyanús.
- Szűkítse a jogokat arra, amire a program tényleg használja. Az írási és törlési jog ritkábban kell, mint amilyen gyakran ki van pipálva.
- Több webshopnál nézze át a webshop-hozzárendelést kulcsonként.
- A nem használt kulcsot tiltsa le (ne azonnal törölje), és figyelje, jelez-e vissza valamelyik partner.
- Frissítsen a 9.2.1-re vagy a 8.2.9-re, hogy a webszolgáltatás két javítása is felkerüljön.
Gyakori kérdések
[faq]
Q: Hol látom, hány kulcs él a webshopon?
A: Az adminban, a Speciális paraméterek > Webszolgáltatás oldalon. Minden sor egy kulcs, az állapotával és a leírásával.
Q: Lejárnak maguktól a kulcsok?
A: Nem. A klasszikus webszolgáltatás-kulcs addig él, amíg le nem tiltják vagy nem törlik. A 9-es ág Admin API-jában a hozzáférési jegynek van élettartama, de maga a kliens ott is addig marad, amíg le nem tiltják.
Q: Elég letiltani, vagy törölni kell?
A: A letiltás azonnal megszünteti a hozzáférést és visszafordítható, ezért felülvizsgálatnál ez az első lépés. Törölni akkor érdemes, ha biztos, hogy a kulcsra nincs többé szükség.
Q: Honnan tudom, hogy egy kulcsot használ-e még valaki?
A: A webszerver naplójában az /api/ kezdetű kérések mutatják a használatot. Ha egy kulcs mögött hónapok óta nincs kérés, a letiltás kockázata kicsi.
Q: Ki kell kapcsolni a webszolgáltatást, ha nem használjuk?
A: Ha egyetlen program sem csatlakozik, a kapcsoló kikapcsolható, és így az /api/ út nem válaszol. Ha később kell, ugyanott visszakapcsolható.
Források: PrestaShop webszolgáltatás-dokumentáció, Admin API dokumentáció, PrestaShop biztonsági közlemények
