Bezpieczeństwo sklepu na Shoperze – kopie zapasowe, dostęp i dobre praktyki

Weryfikacja dwuetapowa (2FA) w Shoperze

Weryfikacja dwuetapowa sprawia, że samo hasło nie wystarczy do zalogowania – potrzebny jest jeszcze jednorazowy kod. Nawet jeśli hasło wycieknie, osoba postronna nie zaloguje się bez telefonu administratora. Według centrum pomocy Shopera 2FA włączysz w panelu: kliknij ikonę administratora w lewym dolnym rogu, wybierz Moje konto, a następnie zakładkę Bezpieczne logowanie.

Do wyboru są dwie metody: aplikacja weryfikująca (np. Google Authenticator), którą Shoper rekomenduje, oraz kod SMS. Po konfiguracji system generuje 10 jednorazowych kodów zapasowych – zapisz je w bezpiecznym miejscu, bo przydadzą się, gdy zgubisz telefon. Instrukcję krok po kroku znajdziesz w artykule Shopera o dwuetapowej weryfikacji logowania.

[#tip] Każdy administrator włącza 2FA na swoim koncie samodzielnie. Administrator z pełnymi uprawnieniami może wyłączyć 2FA innym użytkownikom, ale nie może jej za nich włączyć. Dlatego ustal w firmie zasadę, że nowe konto jest aktywne dopiero po włączeniu weryfikacji, i sprawdzaj to przy każdym nowym pracowniku.

Jeśli stracisz dostęp do wszystkich metod weryfikacji – telefonu, aplikacji i kodów zapasowych – musisz skontaktować się z obsługą Shopera z adresu e-mail, na który założono sklep. To kolejny powód, by ten adres był dobrze zabezpieczony i dostępny dla właściciela, a nie tylko dla byłego pracownika.

Konta administratorów i uprawnienia

Shoper pozwala tworzyć grupy administratorów z różnymi uprawnieniami. Grupy konfigurujesz w ustawieniach sklepu, w sekcji administratorów, i dla każdego obszaru panelu – sprzedaży, klientów, asortymentu, działań marketingowych, raportów czy konfiguracji – ustalasz poziom dostępu: od braku dostępu, przez odczyt, po dodawanie, edycję i usuwanie. Dzięki temu pracownik obsługi klienta widzi zamówienia, ale nie zmieni metod płatności.

Przy współpracy z agencją, freelancerem czy nowym pracownikiem zakładaj osobne konto w odpowiedniej grupie, a po zakończeniu współpracy od razu je usuwaj. Raz na kwartał przejrzyj listę administratorów i sprawdź, czy wszystkie konta są nadal potrzebne. Podobne zasady warto stosować w innych narzędziach – opisujemy je m.in. w artykułach o bezpieczeństwie konta Base i o dostępie do konta reklamowego dla agencji.

[#przyklad] Właścicielka sklepu z akcesoriami dla zwierząt przez dwa lata korzystała z jednego konta administratora razem z trzema pracownikami i zewnętrznym grafikiem. Po odejściu jednej z osób musiała zmienić hasło wszystkim, a i tak nie wiedziała, kto wcześniej zmienił ceny w kilku kategoriach. Po przejściu na osobne konta w grupach z ograniczonymi uprawnieniami i włączeniu 2FA każda zmiana ma przypisaną osobę, a odebranie dostępu trwa minutę.

Aplikacje, integracje i dostęp przez API

Aplikacje z App Store i integracje z zewnętrznymi systemami – Base, systemami magazynowymi, hurtowniami czy narzędziami marketingowymi – często mają szeroki dostęp do danych sklepu: produktów, zamówień i klientów. To wygodne, ale każda taka integracja to kolejny punkt, przez który dane mogą wyciec.

• Instaluj aplikacje od znanych dostawców, sprawdzaj opinie i zakres uprawnień, o które prosi aplikacja.

• Dla integracji przez API twórz osobną grupę administratorów z dostępem tylko do potrzebnych obszarów.

• Usuwaj aplikacje i integracje, z których już nie korzystasz – mniej dostępów to mniej ryzyka i często szybszy sklep.

• Zapisuj, kto i kiedy dodał integrację, żeby po latach wiedzieć, do czego służy.

• Po zakończeniu współpracy z wykonawcą sprawdź, czy nie zostawił w sklepie własnych kont lub kluczy dostępu.

Jeśli łączysz sklep z Base, sprawdź nasz poradnik o integracji Shopera z Base krok po kroku. Mniej aplikacji to zresztą nie tylko bezpieczeństwo – piszemy o tym także w artykule o szybkości sklepu na Shoperze.

Płatności i dane do wypłat

Dane kart płatniczych i dane logowania do banków klientów nie trafiają do Twojego sklepu – obsługują je operatorzy płatności, np. w ramach Shoper Płatności, PayU, Przelewów24 czy Tpay. To duże ułatwienie, bo nie musisz samodzielnie spełniać wymagań bezpieczeństwa dla przetwarzania kart. Po Twojej stronie zostaje jednak konfiguracja: które metody są włączone, na jakie konto trafiają wypłaty i kto może to zmienić.

Oszuści, którzy przejmą panel, często próbują zmienić numer rachunku w danych do przelewu tradycyjnego albo dane kontaktowe sklepu. Dlatego dostęp do konfiguracji płatności i rozliczeń zostaw wyłącznie właścicielowi lub jednej zaufanej osobie, a po każdym podejrzanym logowaniu sprawdź numer konta widoczny w potwierdzeniach zamówień. Warto też raz w miesiącu porównać wypłaty od operatora płatności z zamówieniami w panelu.

Domena, SSL i poczta sklepowa

Certyfikat SSL jest w Shoperze w cenie abonamentu, a sklep działa na bezpiecznym połączeniu HTTPS. Kłopoty pojawiają się zwykle przy zmianie domeny: część adresów, obrazków lub skryptów może wskazywać na stare adresy, a przeglądarka pokaże ostrzeżenie o mieszanej zawartości. Jak to sprawdzić, opisujemy w artykule o certyfikacie SSL w Shoperze.

Równie ważna jest domena i poczta. Konto u rejestratora domeny powinno należeć do firmy, mieć 2FA i aktualne dane kontaktowe. Jeśli domena wygaśnie lub zostanie przejęta, sklep przestanie działać niezależnie od zabezpieczeń Shopera. Poczta firmowa, z której kontaktujesz się z obsługą platformy i operatorami płatności, wymaga tych samych zasad: silnego hasła i weryfikacji dwuetapowej.

Phishing i fałszywe wiadomości

Najczęstszym sposobem przejęcia konta nie jest atak techniczny, tylko wiadomość podszywająca się pod dostawcę: „Twój sklep zostanie zablokowany”, „Potwierdź płatność za abonament”, „Zaloguj się, aby odebrać zwrot”. Link prowadzi do fałszywej strony logowania, która wygląda jak panel sklepu.

1. Loguj się do panelu zawsze z zapisanej zakładki lub wpisując adres ręcznie, a nie z linku w wiadomości.

2. Sprawdzaj adres nadawcy i domenę strony, na którą prowadzi link.

3. Nie podawaj kodów 2FA nikomu – obsługa platformy nie potrzebuje ich do pomocy.

4. Wątpliwe wiadomości weryfikuj, kontaktując się z Shoperem przez oficjalne kanały.

5. Szkol pracowników – jedno kliknięcie w link wystarczy, by przejąć konto z szerokimi uprawnieniami.

Te same zasady dotyczą kont reklamowych, które często są celem oszustów. Jak chronić konto na Facebooku, piszemy w poradniku o zabezpieczeniu portfolio biznesowego po przejęciu konta reklamowego.

Co zrobić, gdy coś pójdzie nie tak

Jeśli podejrzewasz, że ktoś niepowołany zalogował się do panelu, działaj szybko. Zmień hasła, usuń nieznane konta, sprawdź dane do przelewu i konfigurację płatności, a potem skontaktuj się z obsługą Shopera. Jeśli mogło dojść do wycieku danych klientów, przeanalizuj obowiązki wynikające z RODO – w razie naruszenia, które może powodować ryzyko dla osób, administrator ma co do zasady 72 godziny na zgłoszenie go do Prezesa UODO. W takiej sytuacji warto skonsultować się z prawnikiem. [#chart:sh60b]

Przy pomyłce, a nie ataku – np. usuniętej kategorii czy błędnym imporcie – najpierw sprawdź, czy da się to naprawić ręcznie lub z własnego eksportu. Przywrócenie kopii przez Shopera to ostateczność, bo cofa cały sklep i jest płatne.

Jak zbudować proste procedury bezpieczeństwa

Mały sklep nie potrzebuje rozbudowanej polityki bezpieczeństwa. Wystarczy kilka zasad spisanych na jednej stronie i przypomnienie w kalendarzu. Najważniejsze, by każda osoba w zespole wiedziała, jak się logować, czego nie klikać i do kogo zgłosić podejrzaną sytuację.

[#checklista] Raz na kwartał: przegląd listy administratorów i grup; kontrola 2FA na wszystkich kontach; przegląd aplikacji i integracji; eksport produktów, klientów i zamówień; sprawdzenie ważności domeny i dostępu do poczty sklepowej; test logowania z kodu zapasowego.

Bezpieczeństwo to także wybór pakietu i warunków współpracy z platformą. Różnice między planami, w tym poziom wsparcia technicznego, opisujemy w porównaniu pakietów Shopera.

Najczęściej zadawane pytania

Czy Shoper robi kopie zapasowe sklepu?

Tak. Shoper wykonuje kopię raz dziennie, około godziny 2:00, i przechowuje ją przez trzy dni. Kopia obejmuje cały sklep wraz z zamówieniami. Nie możesz tworzyć kopii samodzielnie, a przywrócenie zlecasz obsłudze Shopera.

Czy przywrócenie kopii zapasowej w Shoperze jest płatne?

Tak, przywrócenie kopii jest płatne zgodnie z cennikiem usług dodatkowych Shopera. Aktualną stawkę sprawdź w cenniku lub zapytaj obsługę przed zleceniem.

Jak włączyć weryfikację dwuetapową w Shoperze?

Kliknij ikonę administratora w lewym dolnym rogu panelu, wybierz Moje konto i zakładkę Bezpieczne logowanie. Możesz użyć aplikacji weryfikującej lub kodu SMS. Zapisz 10 kodów zapasowych wygenerowanych po konfiguracji.

Czy mogę dać pracownikowi dostęp tylko do zamówień?

Tak. W Shoperze tworzysz grupy administratorów i dla każdego obszaru panelu ustalasz poziom dostępu. Pracownikowi obsługi zamówień możesz dać dostęp do sprzedaży i klientów, bez dostępu do konfiguracji i rozliczeń.

Co zrobić, gdy stracę telefon z aplikacją do 2FA?

Zaloguj się jednym z kodów zapasowych i skonfiguruj weryfikację na nowym urządzeniu. Jeśli nie masz kodów, skontaktuj się z obsługą Shopera z adresu e-mail, na który założono sklep.

Czy Shoper odpowiada za dane moich klientów?

Za infrastrukturę i zabezpieczenia platformy odpowiada Shoper, ale to Ty jako sprzedawca jesteś administratorem danych klientów w rozumieniu RODO. Odpowiadasz więc m.in. za to, kto ma dostęp do panelu, jak przechowujesz eksporty danych i jak reagujesz na incydenty.

Podsumowanie

Shoper zapewnia bezpieczną infrastrukturę, certyfikat SSL i codzienne kopie zapasowe przechowywane przez trzy dni, ale bezpieczeństwo sklepu zależy też od Ciebie. Włącz weryfikację dwuetapową dla wszystkich administratorów, używaj osobnych kont z ograniczonymi uprawnieniami, kontroluj aplikacje i integracje oraz rób własne eksporty danych przed większymi zmianami. Jeśli chcesz uporządkować dostęp, integracje i konfigurację sklepu z pomocą specjalistów, sprawdź, jak wspieramy wdrożenia i rozwój sklepów Shoper.