Administrator firmy i superadministrator — kto co omija

Są dwa poziomy omijające zwykłe sprawdzanie uprawnień — i różnią się bardziej, niż sugerują nazwy.

Krok po kroku

Nadać roli status administratora firmy

1. W menu wejdź w Zespół i dostęp → Role i uprawnienia. Otworzy się ekran Zespół i dostęp na zakładce Role i uprawnienia z listą Role w firmie.
2. Kliknij ikonę ołówka z podpowiedzią Edytuj rolę przy wybranej roli — albo Dodaj rolę, jeśli zakładasz nową.
3. W oknie wypełnij Nazwa roli (bez niej przycisk zapisu jest nieaktywny) i opcjonalnie Opis.
4. Na karcie Administrator firmy z podpisem Pełny dostęp do wszystkich funkcji i danych przestaw przełącznik na włączony.
5. Zakładki Uprawnienia modułowe i Uprawnienia do pól znikają — zamiast nich pokazuje się ostrzeżenie Włączony pełny dostęp. To potwierdzenie, że przełącznik zadziałał.
6. Kliknij Zaktualizuj rolę (przy nowej roli: Utwórz rolę).
7. Pojawi się okno Wymagana weryfikacja 2FA. Wpisz kod z aplikacji uwierzytelniającej w polu Kod weryfikacyjny i kliknij Potwierdź. Zapis wykona się sam (Potwierdzenie 2FA przy zmianach uprawnień).
8. Okno roli zamyka się, a lista ról odświeża. W kolumnie Uprawnienia rola ma teraz czerwony chip Pełny dostęp zamiast Modułów: N, a jej ikona zmienia się w koronę.

Jeśli coś pójdzie nie tak, zobaczysz komunikat Nie udało się zapisać roli — okno zostaje otwarte z zaznaczonymi ustawieniami.

Uwaga: przy zapisie roli z włączonym przełącznikiem uprawnienia do pól w ogóle nie są wysyłane — zakładki nie ma, więc nie ma czego zapisać. Zostają w bazie takie, jakie były, i wracają do okna po wyłączeniu przełącznika (Uprawnienia do pól — pojedyncze pola i pojedyncze czynności).

Sprawdzić, czy konkretna osoba jest administratorem

1. Przejdź na zakładkę Konta użytkowników.
2. W wierszu osoby kliknij menu trzech kropek i wybierz Efektywne uprawnienia. Pozycja jest widoczna tylko dla administratora firmy i superadministratora.
3. W oknie Efektywne uprawnienia administrator ma jedno zdanie zamiast tabel: Ten użytkownik ma pełny dostęp administracyjny (zarządzanie wszystkim).
4. Zamknij okno przyciskiem Zamknij.

Na liście widać to też bez otwierania okna: role z przełącznikiem administratora mają w kolumnie Role czerwone chipy, pozostałe niebieskie (Lista użytkowników — kafle, kolumny i filtry).

Administrator firmy

Przełącznik na roli (Tworzenie i edycja roli — okno z dwiema zakładkami). Osoba z taką rolą:

• omija wszystkie uprawnienia modułów w swojej firmie,
• omija wszystkie uprawnienia do pól,
• widzi wszystko, co należy do aktywnej firmy.

Czego nie omija:

• potwierdzeń 2FA przy operacjach wrażliwych (Potwierdzenie 2FA przy zmianach uprawnień),
• granic firmy — dane innych firm są dla niej niewidoczne tak samo jak dla każdego innego,
• ochrony kolegów — nie zresetuje hasła ani nie usunie superadministratora ani innego administratora tej samej firmy (Zapomniane hasło i zablokowany dostęp — co administrator może, a czego nie),
• sekcji Platforma, która jest jawnie wyłączona.

Jedno uprawnienie ma każdy

Każdy zalogowany, nawet bez jednej roli, ma odczyt bazy wiedzy. Dzięki temu nowa osoba, której nikt jeszcze nie nadał roli, ma przynajmniej gdzie przeczytać, co się dzieje.

Ile administratorów mieć

Co najmniej dwóch. Administrator nie odzyska sam siebie po utracie 2FA (Zapomniane hasło i zablokowany dostęp — co administrator może, a czego nie), a nikt inny — poza drugim administratorem — nie ma jak pomóc.

Konta techniczne tylko przez administratora

Program zewnętrzny — n8n, WAPRO, własny skrypt — nie pracuje na koncie pracownika ani na jego osobistym tokenie (Klucze API — twoje osobiste tokeny). Dostaje konto techniczne: osobne konto programu, przypisane na stałe do jednej firmy, z własnym tokenem API o ograniczonej ważności.

Zakłada je i wydaje tokeny administrator firmy, w Ustawienia → System → Dostęp dla programów (API). Nie ma na to osobnego uprawnienia w rolach i nie da się go nikomu nadać — token takiego konta działa z prawami administratora firmy, więc prawo do jego wystawienia byłoby warte dokładnie tyle, co rola administratora. Każda zmiana prosi o świeże potwierdzenie 2FA.