Nastavenia zabezpečenia

Stránka Zabezpečenie obsahuje API kľúče vašej organizácie a všetko, čo chráni váš verejný kľúč pred zneužitím.

Kto môže stránku používať

Rola	Prístup
Vlastník, Administrátor	Vidí a môže meniť všetko.
Vývojár	Len na čítanie: vidí kľúče a nastavenia, ale nemá tlačidlá a všetky polia sú neaktívne.
Čitateľ, Fakturácia	Bez prístupu – stránka zobrazí upozornenie, že vaša rola to nedovoľuje.

Ukladanie zmien

Akcie s kľúčmi – Vymeniť kľúč, Nový súkromný kľúč a Zneplatniť – platia okamžite po potvrdení.

Kľúče Turnstile v karte Ochrana pred botmi (Turnstile) sa ukladajú vlastným tlačidlom karty Uložiť kľúče.

Všetky ostatné nastavenia na stránke (povolené weby, prepínače ochrany pred zneužitím, mobilné aplikácie, zoznam blokovaných hodnôt, rate limit, povolené domény odkazov, e-maily na príjemcu a voľba pre prípad vyčerpania kreditov) sú len koncept, kým nekliknete na Uložiť v pravom hornom rohu. Tlačidlo je aktívne, len keď sa niečo zmenilo. Každé uloženie sa zaznamená do auditného záznamu ako security.updated.

Verejný kľúč

Karta Verejný kľúč zobrazuje váš kľúč pk_… s tlačidlom na kopírovanie. Je to kľúč, ktorý vkladáte na svoj web – môžete ho bezpečne zverejniť, pretože požiadavky s ním sa kontrolujú podľa povolených webov, CAPTCHA a rate limitov. Pozrite si Verejný a súkromný kľúč.

Ako vymeniť verejný kľúč

Vymeňte ho, keď napriek ostatným ochranám zaznamenáte zneužitie.

1. Kliknite na Vymeniť kľúč.
2. Potvrďte tlačidlom Vymeniť kľúč v dialógu Vymeniť verejný kľúč?
3. Skopírujte nový kľúč a nasaďte ho na svoj web.

Starý kľúč funguje ešte 24 hodín. Dovtedy karta zobrazuje poznámku, ktorý predchádzajúci kľúč ešte funguje a dokedy. Potom požiadavky so starým kľúčom zlyhajú s chybou invalid_public_key.

Súkromné kľúče

Súkromné kľúče sú určené len pre servery – Node SDK, cURL, váš backend. Tabuľka zobrazuje Názov každého kľúča s dátumom vytvorenia, posledné štyri znaky v stĺpci Kľúč a kedy bol Naposledy použitý (Nikdy, ak ešte použitý nebol).

Organizácia môže mať najviac 20 aktívnych súkromných kľúčov.

Ako vytvoriť súkromný kľúč

1. Kliknite na Nový súkromný kľúč.
2. Zadajte Názov, z ktorého bude jasné, kde ho použijete, napr. „Produkčný backend“, a kliknite na Vytvoriť.
3. Dialóg Váš nový súkromný kľúč zobrazí celý kľúč. Hneď ho skopírujte a uložte do tajných premenných servera alebo do správcu hesiel.
4. Kliknite na Bezpečne som si ho uložil.

Upozornenie

Kľúč sa zobrazí iba raz. Frontmail ukladá len jeho hash a posledné štyri znaky, takže vám ho nikto – ani podpora – nemôže zobraziť znova. Ak ho stratíte, vytvorte nový a starý zneplatnite.

Ako zneplatniť súkromný kľúč

1. V riadku kľúča kliknite na Zneplatniť.
2. Potvrďte tlačidlom Zneplatniť v dialógu.

Zneplatnenie platí okamžite – požiadavky s kľúčom sa hneď odmietajú s chybou invalid_private_key. Ak chcete kľúč vymeniť bez výpadku, najprv vytvorte nový, nasaďte ho, skontrolujte, že sa hodnota Naposledy použitý pri starom kľúči prestala meniť, a až potom starý zneplatnite.

Povolené weby

S vaším verejným kľúčom môžu posielať len domény uvedené v zozname Povolené weby. Frontmail ich porovnáva s hlavičkou Origin prehliadača. Podrobnosti nájdete na stránke Povolené domény.

Podporované formáty:

Záznam	Zodpovedá
example.com	Presne tejto doméne.
*.example.com	Akejkoľvek subdoméne example.com.
localhost:3000	Hostu s konkrétnym portom – praktické pri lokálnom vývoji.

Ak vložíte celú URL, napríklad https://example.com/contact, dashboard z nej ponechá len host.

Upozornenie

Ak v zozname nie sú žiadne domény, stránka zobrazí upozornenie: váš verejný kľúč môže použiť akýkoľvek web. Pred spustením do prevádzky pridajte svoju doménu.

Ako povoliť web

1. Napíšte doménu do poľa Pridať doménu.
2. Kliknite na Pridať (alebo stlačte Enter). Doména sa zobrazí ako štítok nad poľom.
3. Kliknite na Uložiť.

Doménu odstránite kliknutím na × v jej štítku a potom na Uložiť.

Ochrana pred botmi (Turnstile)

Táto karta obsahuje vlastné kľúče Cloudflare Turnstile vašej organizácie. Šablóny so zapnutým Vyžadovať CAPTCHA (Turnstile) prijímajú požiadavky z vašich webov len s tokenom Turnstile a Frontmail tieto tokeny overuje tajným kľúčom, ktorý tu uložíte. Bez kľúčov webové požiadavky na takéto šablóny zlyhajú s chybou captcha_not_configured.

Prečo vlastné kľúče: bezplatný tarif Cloudflare povoľuje len 10 hostov na widget, takže jeden kľúč Frontmailu nemôže pokryť weby všetkých zákazníkov. Váš widget je zadarmo a funguje iba na vašich hostoch.

Ako pridať kľúče Turnstile

1. V dashboarde Cloudflare otvorte Turnstile → Add widget, pomenujte ho, pridajte hostov svojho webu (napr. example.com, www.example.com; localhost len na testovanie), ponechajte režim Managed a kliknite na Create.
2. Skopírujte Site Key a Secret Key.
3. Na stránke Zabezpečenie vložte oba kľúče do karty Ochrana pred botmi (Turnstile) a kliknite na Uložiť kľúče.
4. Kliknite na Zapnúť CAPTCHA pre všetky šablóny, ak ju chcete jedným kliknutím zapnúť pre existujúce šablóny. Šablóny používané ako automatická odpoveď sa preskočia.

Pri ukladaní sa secret key najprv overí v Cloudflare – nesprávny kľúč sa odmietne so zrozumiteľnou správou a nič sa neuloží. Kľúče sa uložia okamžite (tlačidlo Uložiť na stránke netreba) a zaznamenajú sa do auditného záznamu ako security.turnstile.updated; zapnutie CAPTCHA pre všetky šablóny sa zaznamená ako template.captcha_enabled.

• Secret key sa dá iba zapísať: ukladá sa zašifrovaný a už sa nikdy nezobrazí – karta ukazuje len site key a odkedy sú kľúče nastavené. Ak ich chcete zmeniť, kliknite na Nahradiť kľúče a vložte nové; ak ich už nechcete používať, kliknite na Odstrániť kľúče a potvrďte Odstrániť kľúče Turnstile? (security.turnstile.removed). Šablóny si ponechajú nastavenie CAPTCHA, takže po odstránení kľúčov budú webové požiadavky na ne zlyhávať, kým kľúče znova nepridáte.
• Keď sú kľúče uložené, nové šablóny majú CAPTCHA predvolene zapnutú. Skôr vytvorené šablóny si ponechajú svoje nastavenie.
• Karta Kód v editore šablón potom obsahuje widget s vaším site key.
• Na lokálny vývoj môžete použiť testovacie kľúče Cloudflare – nikdy nie v produkcii.

Mobilné aplikácie postavené na @frontmail/react-native tieto kľúče nepotrebujú – používajú zdieľaný mobilný kľúč Frontmailu.

Ochrana pred zneužitím

To, či šablóna vyžaduje CAPTCHA Turnstile, sa nastavuje pri každej šablóne v editore šablón, nie tu – pozrite si Turnstile. Karta Ochrana pred zneužitím má štyri prepínače:

Prepínač	Čo robí
Blokovať headless prehliadače	Odmieta požiadavky s verejným kľúčom z automatizovaných prehliadačov, ako je Puppeteer. Predvolene vypnuté. Pozrite si Ochrana pred botmi.
Prísne parametre	Odmieta požiadavky s parametrami, ktoré nie sú v schéme šablóny, namiesto toho, aby ich ignoroval. Predvolene vypnuté.
Povoliť API so súkromným kľúčom	Umožní vašim serverom posielať so súkromným kľúčom, ktorý preskakuje kontrolu webu. Predvolene zapnuté. Vypnite ho, ak posielate len z prehliadačov – požiadavky so súkromným kľúčom sa potom odmietajú s 403 forbidden.
Povoliť súkromné kľúče v prehliadačoch	Prijíma požiadavky so súkromným kľúčom, ktoré prichádzajú z webovej stránky (s hlavičkou Origin). Predvolene vypnuté – takéto požiadavky sa odmietajú s chybou 403 private_key_in_browser, pretože každý návštevník stránky by si kľúč mohol skopírovať. Zapnite to len pre interné nástroje; po zapnutí sa zobrazí upozornenie. Pozrite si Kľúče.

Po zmene prepínača nezabudnite kliknúť na Uložiť.

Mobilné aplikácie

Natívne aplikácie (React Native, Flutter, Swift, Kotlin) neposielajú hlavičku Origin, takže ich požiadavky – ako každá požiadavka s verejným kľúčom bez Origin a Referer – sa odmietajú s chybou 403 origin_not_allowed, aj keď nie sú nastavené žiadne povolené weby. Karta Mobilné aplikácie má jeden prepínač, Povoliť mobilné aplikácie (predvolene vypnutý). Keď je zapnutý, požiadavky s verejným kľúčom bez hlavičky Origin alebo Referer sa prijímajú a ich CAPTCHA sa overuje zdieľaným mobilným kľúčom Frontmailu. Požiadavky z webov sa naďalej kontrolujú podľa zoznamu. Podrobnosti nájdete v časti Povolené domény → Mobilné aplikácie.

Ako povoliť mobilné aplikácie

1. Zapnite Povoliť mobilné aplikácie.
2. Prečítajte si upozornenie, ktoré sa zobrazí pod prepínačom.
3. Kliknite na Uložiť.

Upozornenie

Po zapnutí prepínača karta upozorní, že požiadavky bez hlavičky Origin budú prijaté odkiaľkoľvek – môže ich poslať akýkoľvek skript alebo server, ktorý pozná váš verejný kľúč. Pre šablóny, ktoré aplikácia používa, ponechajte zapnutý Turnstile, udržujte prísny rate limit aj zoznam blokovaných hodnôt a nikdy nedávajte súkromný kľúč do aplikácie. Pozrite si React Native.

Zoznam blokovaných hodnôt

Zoznam blokovaných hodnôt zastaví známych spamerov skôr, ako ich požiadavky minú kredity.

• Blokované hodnoty – jedna hodnota na riadok: e-mailové adresy, domény (spam.example alebo @spam.example) alebo presné hodnoty parametrov.
• Kontrolovaný parameter – parameter, ktorý sa okrem príjemcov porovnáva so zoznamom, napr. email pre adresu návštevníka v kontaktnom formulári.

Zodpovedajúce požiadavky zlyhajú s chybou recipient_blocked. Viac v časti Ochrana pred botmi → Zoznam blokovaných hodnôt.

Rate limit na IP adresu

Rate limit na IP adresu obmedzuje, ako často môže jeden návštevník odosielať vaše formuláre s verejným kľúčom. Nastavte Požiadavky (1–1 000) a Za (sekúnd) (1–86 400); veta pod poľami zhrnie výsledok. Predvolená hodnota je 10 požiadaviek za 60 sekúnd. Požiadavky nad limit dostanú 429 rate_limited a nespotrebujú kredity. Požiadavky so súkromným kľúčom nie sú obmedzené na IP adresu – pozrite si Rate limity.

Povolené domény odkazov

Keď šablóna berie príjemcu z parametrov a posiela sa s verejným kľúčom – a pri každej automatickej odpovedi –, odkazy v e-maile smú viesť len na domény, ktorým dôverujete. Odkazy napísané priamo v šablóne a vaše povolené weby sú povolené vždy; ďalšie domény pridajte do poľa Povolené domény odkazov, jednu na riadok: example.com (presne tento host) alebo *.example.com (len subdomény). Neplatné riadky sa označia a zablokujú Uložiť. Požiadavky s odkazom inam zlyhajú s chybou link_not_allowed. Pozrite si Povolené odkazy a zámok obsahu.

E-mailov na príjemcu za deň (1–1 000, predvolene 5) obmedzuje, koľko e-mailov s dynamickým príjemcom (verejný kľúč) a automatických odpovedí dostane jedna adresa za deň (UTC). Nad limit požiadavky zlyhajú s 429 rate_limited (details.scope: "recipient") a automatická odpoveď sa nevytvorí.

Keď vám dôjdu kredity

Táto karta určuje, čo sa stane s novými e-mailmi, keď organizácia nemá žiadne kredity:

Voľba	Správanie
Pozdržať e-maily (Odporúčané, predvolené)	E-maily sa prijmú a čakajú v Pozdržaných správach. Odošlú sa automaticky, len čo pridáte kredity.
Odmietať požiadavky	API odpovie 402 insufficient_credits a nič sa neuloží – čo povedať návštevníkovi, rozhodne váš web.

Vyberte voľbu a kliknite na Uložiť. Celkový obraz vrátane toho, ako sa pozdržané e-maily uvoľňujú, nájdete na stránke Fronta pozdržaných e-mailov.