Bezpečnosť automatizácií: webhooky, prístupy a API kľúče pod kontrolou

Webhook bez overenia podpisu spustí vašu automatizáciu komukoľvek, kto pozná jeho adresu. Stripe vo svojej dokumentácii výslovne píše, že útočník tak môže poslať falošné udalosti a spustiť vybavenie objednávky, udelenie prístupu k účtu alebo zmenu záznamov. Bezpečnosť automatizácií sa preto točí okolo otázky, kto smie tok spustiť, pod akým účtom pri tom koná a ako dlho platí kľúč, ktorým sa pripája k ďalším službám. Platformy na to v roku 2026 pridali nové nástroje. Platforma n8n overuje podpisy webhookov v ďalších trigger uzloch, Make posiela e-mail, keď niekto použije vaše prepojenie, a OpenAI umožňuje nastaviť API kľúču dátum expirácie.

Tento článok nadväzuje na náš sprievodcu AI automatizáciou firemných procesov, ktorý rieši, čo sa oplatí automatizovať. Ak toky stavíte v n8n alebo Make, základné porovnanie platforiem nájdete v článku automatizácie pre malé firmy cez n8n a Make. Keď chcete toky nechať postaviť alebo skontrolovať niekým, kto ich robí denne, pozrite si našu službu automatizácie firemných procesov.

Bezpečnosť automatizácií: kde tok najčastejšie presakuje

Najzraniteľnejšie miesta automatizácie sú adresa webhooku, uložené prepojenia na firemné účty, API kľúče k plateným službám a účet na samotnej platforme.

Automatizačný tok v n8n, Make alebo Zapieri drží prístupy k viacerým systémom naraz. Jeden scenár číta objednávky z e-shopu, zapisuje do fakturácie, posiela e-maily zákazníkom a volá AI model. Kto ovládne tok, dostane sa naraz do všetkých aplikácií, ktoré tok prepája. Pri webe strážite hlavne prihlásenie do administrácie. Pri automatizácii sú vstupy rozhádzané po nastaveniach jednotlivých uzlov a pohromade ich často nevidí nikto. Ak spravujete aj WordPress, jeho stranu pokrýva náš 10-bodový checklist bezpečnosti WordPress webu. Tu riešime toky, ktoré bežia mimo neho.

Vstupný bod	Čo sa stane pri zneužití	Prvá kontrola
Webhook (adresa, ktorú volá iná služba)	Ktokoľvek s adresou pošle vymyslené dáta a spustí tok	Overenie podpisu alebo tajnej hlavičky, zoznam povolených IP adries
Prepojenie (connection, credential)	Kolega alebo cudzí tok koná pod vaším účtom	Kto prepojenie vlastní, s kým je zdieľané, kto dostane upozornenie na jeho použitie
API kľúč k AI alebo platobnej službe	Cudzie volania idú na váš účet a vašu faktúru	Dátum expirácie, jeden kľúč na jeden tok, sledovanie spotreby
Účet na automatizačnej platforme	Prístup ku všetkým tokom a uloženým prepojeniam naraz	Dvojfaktorové overenie, roly podľa toho, kto čo robí

Prejdite si tabuľku pri každom toku, ktorý pracuje s peniazmi, osobnými údajmi alebo e-mailmi zákazníkom. Začnite tam, kde v poslednom stĺpci nemáte odpoveď.

Webhooky: overte, kto vašu automatizáciu volá

Webhook prijme požiadavku od každého, kto pozná jeho adresu, preto musí overiť podpis, tajnú hlavičku alebo aspoň IP adresu odosielateľa.

Služba, ktorá webhook posiela, k nemu pripojí podpis vypočítaný zo zdieľaného tajomstva a z obsahu správy. Stripe na to používa HMAC so SHA-256 a podpis posiela v hlavičke Stripe-Signature. Prijímajúca strana podpis vypočíta znova a porovná. Keď sa nezhoduje, požiadavku odmietne. Stripe vo svojej dokumentácii k webhookom k tomu pridáva pravidlá, ktoré platia pre akúkoľvek vlastnú integráciu:

• podpisy porovnávať v konštantnom čase, aby útočník nemohol podpis odhadovať podľa toho, ako rýchlo server odpovedá,
• kontrolovať časovú pečiatku správy, pričom knižnice Stripe majú predvolenú toleranciu 5 minút a hodnota 0 kontrolu úplne vypne,
• počítať s tým, že rovnaká udalosť príde viackrát, a ukladať si ID už spracovaných udalostí,
• podpisové tajomstvo pravidelne meniť a vymeniť ho hneď, keď máte podozrenie na únik.

Webhooky v n8n

Verzia n8n 2.21 z 12. mája 2026 pridala overovanie podpisov do viacerých trigger uzlov naraz, napríklad pre Calendly, MailerLite, Customer.io, Twilio a Acuity Scheduling. Požiadavku s chýbajúcim alebo neplatným podpisom uzol odmietne s odpoveďou 401. Podľa poznámok k vydaniu n8n však staré webhooky bežia ďalej bez overenia, aby existujúce toky nespadli. Pri niektorých uzloch vznikne podpisový kľúč až pri novom vytvorení webhooku, pri Customer.io treba kľúč doplniť do prihlasovacích údajov. Samotná aktualizácia preto staré toky nezabezpečí.

Všeobecný uzol Webhook, cez ktorý idú vlastné integrácie, ponúka podľa dokumentácie n8n autentifikáciu Basic auth, Header auth, JWT auth alebo None a voliteľný zoznam povolených IP adries. Požiadavku z inej adresy odmietne s chybou 403. Pri voľbe None tok spustí každý, kto adresu pozná. Testovacia adresa sa zaregistruje, keď v editore spustíte Listen for Test Event alebo Execute workflow, produkčná až po publikovaní toku.

Webhooky v Make

Vlastný webhook v Make má v nastaveniach tri ochrany. Obmedzenie IP adries spracuje len požiadavky z uvedených adries. Dátová štruktúra odmietne požiadavku, ktorá jej nezodpovedá, s kódom 400. Voliteľný API kľúč sa posiela v hlavičke x-make-apikey a Make ho po vytvorení už znova neukáže, takže ho hneď uložte do správcu hesiel. Webhook, ktorý nie je viac ako 5 dní (120 hodín) pripojený k žiadnemu scenáru, Make sám deaktivuje.

Webhook bez ktorejkoľvek z týchto ochrán funguje ako verejné tlačidlo. Kto jeho adresu nájde v starom e-maile, v logu alebo v kóde formulára, spustí tok s dátami, aké si sám vymyslí.

Prepojenia a prístupy: pod akým účtom váš tok koná

Každé prepojenie v automatizácii koná pod konkrétnym účtom, preto musíte vedieť, kto ho vlastní, s kým je zdieľané a kto sa dozvie, keď ho niekto použije.

Zapier od mája 2026 pri zapnutí alebo publikovaní Zapu kontroluje, či má jeho vlastník prístup ku každému prepojeniu, ktoré Zap používa. Ak prepojenie s vlastníkom zdieľané nie je, Zap nezapne a editor ukáže krok aj prepojenie, ktoré treba zdieľať. Píše to Zapier v oznámení o povinnom prístupe vlastníka k prepojeniam. Zdieľanie prepojení je dostupné v tarifách Team a Enterprise. Kolega, s ktorým prepojenie zdieľate, ho môže použiť vo vlastných Zapoch a vidí aj testovacie dáta.

Make od 12. augusta 2026 posiela e-mail, keď váš kľúč alebo prepojenie prvýkrát pridá do scenára iný člen tímu. Upozornenia sú podľa nápovedy Make zapnuté predvolene a vlastník ich môže vypnúť pri každom prepojení zvlášť. Nechajte ich zapnuté, inak sa o scenári postavenom nad vaším prístupom do fakturácie nedozviete. Roly v tíme Make rozlišujú plný prístup (Team Admin), operátora, ktorý scenáre len zapína, vypína a plánuje (Team Operator), a monitorovanie s prístupom len na čítanie (Team Monitoring). Od 12. februára 2026 môžete v Make vynútiť dvojfaktorové overenie pre celú organizáciu.

V n8n kolega zdieľané prihlasovacie údaje použije, ale ich detaily neuvidí ani neupraví. Zdieľanie má podľa dokumentácie n8n cloud vo všetkých plánoch, self-hosted inštalácia v plánoch Business a Enterprise.

Prepojenia na fakturáciu, banku a e-shop by z nášho pohľadu mali patriť firemnému servisnému účtu namiesto osobného účtu zamestnanca. Keď človek z firmy odíde a jeho účet sa zruší, toky postavené na jeho prepojeniach prestanú fungovať. Pri každom prepojení si preto rozhodnite, či patrí človeku alebo firme, a podľa toho ho preneste.

API kľúče k AI službám: expirácia, vlastník a jeden kľúč na tok

API kľúč k AI modelu alebo platobnej službe má mať vlastníka, dátum expirácie a čo najužší rozsah, aby jeho únik zasiahol len jeden tok.

OpenAI od 10. septembra 2026 umožňuje pri vytváraní projektového API kľúča nastaviť dátum expirácie. Správcovia môžu na úrovni organizácie alebo projektu vynútiť maximálnu životnosť kľúčov. Od 15. septembra 2026 pribudli podľa changelogu OpenAI API aj ovládacie prvky, ktorými organizácia a projekt riadia vytváranie kľúčov. Vo svojich odporúčaniach pre produkčné nasadenie OpenAI radí nedávať kľúče do kódu ani do verejných repozitárov, sprístupniť ich aplikácii cez premenné prostredia alebo správcu tajomstiev a sledovať ich spotrebu na stránke Usage.

Pre automatizácie z toho vyplýva niekoľko pravidiel, ktoré odporúčame dodržiavať pri každej platforme:

• jeden kľúč na jeden tok alebo jednu službu, pomenovaný podľa toku, aby ste pri úniku vedeli, čo vypnúť,
• kľúč patrí projektu alebo servisnému účtu firmy, nikdy súkromnému účtu zamestnanca,
• expirácia s pripomienkou v kalendári pred termínom, inak sa tok v deň expirácie zastaví,
• kľúč vložený do prihlasovacích údajov platformy, nie do textu uzla, HTTP hlavičky alebo poznámky, ktoré sa exportujú spolu s tokom.

Rovnaká logika platí pre kľúče k databáze v aplikáciách z AI nástrojov, ktoré sme rozoberali pri zmene prístupov v Supabase Data API. Pri starom kľúči bez expirácie stačí vytvoriť nový s dátumom platnosti, prepnúť naň tok a starý kľúč zmazať.

Self-hosted n8n: čo zabezpečujete sami

Na vlastnom serveri n8n zodpovedáte sami za šifrovací kľúč, aktualizácie, verejné API aj spôsob prihlasovania.

Platforma n8n pri prvom spustení vygeneruje náhodný šifrovací kľúč, ktorým šifruje uložené prihlasovacie údaje, a uloží ho do priečinka ~/.n8n. Kto pri sťahovaní na nový server alebo pri obnove zo zálohy tento kľúč stratí, uložené prihlasovacie údaje bez neho nepoužije. V režime queue mode treba podľa dokumentácie nastaviť premennú N8N_ENCRYPTION_KEY pre všetky workery. Dokumentácia n8n k zabezpečeniu inštalácie ďalej uvádza tieto kroky:

• nastaviť SSL a prihlasovanie cez SSO (SAML alebo OIDC),
• vynútiť dvojfaktorové overenie a spustiť bezpečnostný audit inštalácie,
• pravidelne meniť kľúč, ktorým sa šifrujú prihlasovacie údaje,
• vypnúť verejné API, zablokovať uzly, ktoré nepoužívate, zapnúť ochranu pred SSRF a skryť citlivé dáta z behov tokov.

Verejné API vypnete premennými N8N_PUBLIC_API_DISABLED=true a N8N_PUBLIC_API_SWAGGERUI_DISABLED=true, ak ho žiadna integrácia nepotrebuje. Ak tieto kroky nemá nikto na starosti, server beží v stave z dňa inštalácie a každá chyba, ktorú n8n medzitým opravil, na ňom ostáva otvorená.

Bezpečnosť automatizácií v praxi: kontrola za jedno popoludnie

Malú firmu s niekoľkými tokmi prejdete z našej skúsenosti orientačne za jedno popoludnie, ak začnete tokmi, ktoré pracujú s peniazmi a osobnými údajmi.

Pri menších slovenských firmách v praxi vidíme hlavne toky, ktoré vznikli ako rýchly pokus a ostali bežať. Kto ich postavil a aké prístupy používajú, potom nemusí vo firme vedieť nikto. Kontrolu robte v tomto poradí:

1. Spíšte všetky toky na všetkých platformách a ku každému vlastníka. Tok bez vlastníka vypnite alebo ho niekomu priraďte.
2. Pri každom webhooku zistite, či overuje podpis, hlavičku alebo IP adresu. Staré trigger uzly v n8n po aktualizácii skontrolujte zvlášť.
3. Prejdite prepojenia: komu patria, s kým sú zdieľané a či niektoré nebeží na osobnom účte bývalého zamestnanca.
4. Zapnite dvojfaktorové overenie pre všetkých ľudí na platforme, v Make ho môžete vynútiť pre celú organizáciu.
5. Nechajte zapnuté upozornenia na použitie prepojení v Make a overte, komu chodia.
6. API kľúče k AI službám vymeňte za nové s expiráciou, jeden na tok, a zapnite sledovanie spotreby.
7. Pri self-hosted n8n overte zálohu šifrovacieho kľúča, aktuálnu verziu a vypnuté verejné API, ak ho nepoužívate.

Ako to riešime v Denve: automatizácie napájame cez oficiálne rozhrania nástrojov a prístupy držíme na nevyhnutnom minime. Toky staviame sledovateľne, takže kritický krok pri zlyhaní upozorní hneď, a odovzdávame ich zdokumentované, aby ste im rozumeli a neboli na nás naviazaní.

Kedy to zvládnete sami a kedy s nami

Zvládnete sami, ak:

• máte pár tokov na jednej platforme a viete, kto ich postavil,
• používate cloudovú verziu n8n, Make alebo Zapier a nespravujete vlastný server,
• vaše webhooky volajú služby, pri ktorých n8n alebo Make overenie ponúka priamo v nastaveniach.

Oplatí sa prizvať nás, ak:

• toky postavil niekto, kto už vo firme nie je, a nikto nevie, aké prepojenia používajú,
• prevádzkujete self-hosted n8n bez zálohy šifrovacieho kľúča alebo bez pravidelných aktualizácií,
• webhook prijíma objednávky, platby alebo osobné údaje a potrebuje vlastné overenie podpisu.

Záver

Ak vaše toky len rozosielajú interné notifikácie, stačí zapnúť dvojfaktorové overenie, upratať prepojenia a zoznam tokov pravidelne prechádzať. Ak prijímajú objednávky, platby alebo osobné údaje, overenie webhookov a kľúče s expiráciou patria medzi prvé úlohy, pri vlastnom serveri n8n spolu so zálohou šifrovacieho kľúča. Keď nikto vo firme nevie povedať, kto ktorý tok postavil a pod akým účtom beží, odporúčame obrátiť sa na odborníkov a nechať toky najprv zmapovať. Ak chcete, prejdeme ich s vami na nezáväznej konzultácii.

FAQ

Časté otázky.

Čo je overenie podpisu webhooku?

Je to kontrola, že požiadavku poslala služba, za ktorú sa vydáva, a nikto ju cestou nezmenil. Odosielateľ vypočíta zo zdieľaného tajomstva a obsahu správy podpis, napríklad HMAC so SHA-256, a pošle ho v hlavičke. Prijímajúca strana ho vypočíta znova a pri nezhode požiadavku odmietne.

Stačí, že adresu webhooku nikto nepozná?

Nestačí. Adresa sa môže objaviť v logoch, e-mailoch, exporte toku alebo v kóde webu a potom ju zavolá ktokoľvek. Doplňte ju preto o overenie podpisu, tajnú hlavičku alebo zoznam povolených IP adries, ktoré n8n aj Make ponúkajú v nastaveniach webhooku.

Ako často meniť API kľúče v automatizáciách?

Pravidelne a vždy hneď pri podozrení na únik, ako to Stripe odporúča pri podpisových tajomstvách webhookov. Pri OpenAI môžete od 10. septembra 2026 nastaviť projektovému kľúču dátum expirácie, takže starý kľúč po termíne prestane platiť a výmenu nemôžete odkladať donekonečna.

Je cloudová verzia n8n bezpečnejšia ako self-hosted?

Záleží na tom, kto server spravuje. Pri self-hosted n8n zodpovedáte sami za aktualizácie, SSL, zálohu šifrovacieho kľúča a vypnutie verejného API, ak ho nepotrebujete. Webhooky, prepojenia a API kľúče musíte zabezpečiť v oboch prípadoch.

Dozviem sa, keď niekto použije moje prepojenie v Make?

Áno, od 12. augusta 2026 vám Make pošle e-mail, keď váš kľúč alebo prepojenie prvýkrát pridá do scenára iný člen tímu. Upozornenia sú zapnuté predvolene a vlastník ich môže vypnúť pri každom prepojení zvlášť, čo neodporúčame.