Role i uprawnienia w WooCommerce - jak nadać dostęp pracownikom i agencji

Uprawnienia w WooCommerce w praktyce - na co uważać

Szeroki zakres roli Kierownik sklepu jest wygodny, ale w kilku miejscach warto świadomie zdecydować, kto co robi. Najczęściej dotyczy to pieniędzy, danych klientów i ustawień, które wpływają na cały sklep. Poniżej sytuacje, które warto omówić z zespołem przed nadaniem ról:

• Zwroty pieniędzy - Kierownik sklepu może wykonać zwrot w zamówieniu. Jeśli bramka płatności obsługuje zwroty automatyczne, pieniądze wracają do klienta od razu, bez dodatkowego zatwierdzenia. Ustal, kto i do jakiej kwoty może zwracać środki.

• Eksport danych - rola ma uprawnienia do eksportu, a eksport klientów czy zamówień to plik z danymi osobowymi. Ustal, gdzie takie pliki mogą być zapisywane i kiedy się je usuwa.

• Ustawienia płatności i wysyłek - zmiana metody płatności, stawki dostawy czy podatku działa na wszystkie zamówienia. Dobrą praktyką jest zapisywanie takich zmian w prostym rejestrze z datą i powodem.

• Ceny i promocje - masowa zmiana cen lub nowy kupon może przy pomyłce kosztować sporo. Przy większych akcjach przydaje się zasada czterech oczu: jedna osoba przygotowuje, druga sprawdza.

Warto też pamiętać, że rola w WordPressie nie zastąpi zasad pracy. Jeśli pracownik obsługi nie powinien zmieniać ustawień płatności, możesz to zapisać w procedurze albo przygotować rolę bez tego uprawnienia. Pierwsze rozwiązanie jest prostsze, drugie pewniejsze. W małym sklepie zwykle wystarcza procedura i dziennik aktywności, w większym zespole lepiej sprawdzają się role dopasowane do stanowisk.

Jak dodać pracownika do sklepu WooCommerce krok po kroku

Nowe konto tworzysz w panelu WordPressa w menu Użytkownicy, opcja Dodaj użytkownika. Kolejność działań przy wprowadzaniu nowej osoby:

1. Ustal, jakie zadania będzie wykonywać nowa osoba i wybierz najniższą rolę, która je obejmuje.

2. Utwórz imienne konto na służbowy adres e-mail tej osoby - nie na wspólną skrzynkę typu sklep@ czy biuro@.

3. Zaznacz opcję wysłania nowemu użytkownikowi wiadomości z informacją o koncie, żeby sam ustawił hasło. Nie przesyłaj haseł w czacie ani w e-mailu.

4. Poproś o włączenie uwierzytelniania dwuskładnikowego, jeśli sklep ma wtyczkę 2FA, np. Two Factor z repozytorium WordPress.org.

5. Zapisz w firmowej liście dostępów: kto, jaka rola, od kiedy i kto zatwierdził.

Dlaczego jedno konto to jedna osoba

Wspólne konto „sklep” z jednym hasłem dla kilku osób to najczęstsza przyczyna kłopotów z dostępami. W notatkach zamówienia i w dziennikach aktywności widać wtedy tylko nazwę konta, a nie człowieka. Po odejściu pracownika trzeba zmieniać hasło wszystkim, a 2FA na telefonie jednej osoby blokuje pozostałe. Imienne konta rozwiązują te problemy i nic nie kosztują - WordPress nie ogranicza liczby użytkowników. Imienne konto ułatwia też rozmowę po pomyłce: zamiast szukać winnego, szybko widać, gdzie zmienić procedurę albo zakres roli.

Dostęp do WooCommerce dla agencji i podwykonawców

Agencja marketingowa, programista czy grafik powinni pracować na własnych kontach, tak samo jak pracownicy. Przy ustalaniu roli warto zapytać, co dokładnie będą robić. Agencja reklamowa często nie potrzebuje panelu sklepu w ogóle - wystarczy jej dostęp do Google Analytics, Merchant Center czy menedżera reklam Meta, które nadajesz w tych narzędziach. Copywriter poradzi sobie z rolą Autora. Pełny dostęp administratora ma sens wtedy, gdy podwykonawca instaluje lub aktualizuje wtyczki, i można go nadać na czas zlecenia.

Programiści najlepiej pracują na kopii sklepu, a nie na produkcji. Na stagingu mogą mieć szerokie uprawnienia bez ryzyka dla zamówień, a na sklep trafiają tylko sprawdzone zmiany. Jak przygotować taką kopię i komu dać do niej dostęp, opisujemy we wpisie o tym, jak testować zmiany na środowisku staging w WooCommerce. Pamiętaj, że dostęp do serwera, czyli panel hostingu, SFTP czy baza danych, to osobne konta. Też powinny być imienne i odbierane po zakończeniu pracy.

Kiedy wystarczy konto w panelu, a kiedy lepiej połączyć narzędzie przez API? Pomaga w tym proste porównanie:

[#chart:woo77b]

Klucze REST API i hasła aplikacji dla integracji

Systemy zewnętrzne - program do faktur, ERP, Base, system magazynowy - nie powinny logować się do sklepu hasłem człowieka. WooCommerce wydaje im klucze REST API w zakładce WooCommerce, Ustawienia, Zaawansowane, REST API, przyciskiem Dodaj klucz. Przy tworzeniu klucza wybierasz użytkownika, do którego klucz jest przypisany, i uprawnienia: Odczyt, Zapis albo Zapis/odczyt. Klucz działa w granicach uprawnień przypisanego użytkownika, więc integracja z kluczem administratora ma praktycznie pełny dostęp do danych sklepu.

• Opis klucza - nazwij klucz tak, żeby po roku było wiadomo, która integracja go używa.

• Najniższe uprawnienia - narzędzie do raportów potrzebuje tylko odczytu, a zapis zostaw integracjom, które zmieniają stany, ceny lub statusy.

• Osobny użytkownik techniczny - klucz przypisany do konta pracownika jest zależny od tego konta, więc jego usunięcie lub zmiana roli może zatrzymać integrację.

• Jeden klucz na integrację - po rezygnacji z narzędzia unieważniasz tylko jego klucz.

WordPress od wersji 5.6 ma też hasła aplikacji. Tworzysz je w profilu użytkownika, w sekcji Hasła aplikacji: podajesz nazwę, a WordPress generuje osobne hasło, które działa tylko w zapytaniach do API, a nie przy logowaniu do panelu. Każde hasło aplikacji można unieważnić osobno, bez zmiany głównego hasła. Więcej o tym, jak sklepy wymieniają dane z innymi systemami, piszemy w tekście integracja API sklepu internetowego - jak to działa.

Własne role i wtyczki do zarządzania uprawnieniami

Gdy standardowe role nie pasują, możesz je zmodyfikować albo utworzyć nowe. Popularne wtyczki do tego celu w repozytorium WordPress.org to m.in. User Role Editor i Members. Pozwalają np. przygotować rolę „Obsługa zamówień”, która widzi zamówienia i produkty, ale nie ma dostępu do ustawień płatności, albo dodać Redaktorowi dostęp do edycji menu.

Przy własnych rolach obowiązują trzy zasady. Nie zmieniaj uprawnień roli Administrator - łatwo odebrać sobie dostęp do panelu. Twórz nowe role na bazie istniejących, zamiast przerabiać standardowe, bo aktualizacje wtyczek mogą zakładać ich domyślny zakres. Każdą zmianę sprawdź na stagingu, logując się na konto testowe z nową rolą i przechodząc przez codzienne zadania pracownika.

Przegląd dostępów i odbieranie uprawnień w sklepie WooCommerce

Dostępy z czasem się rozrastają: stażysta sprzed roku, agencja po zakończonej kampanii, klucz API po teście narzędzia. Raz na kwartał przejrzyj listę użytkowników z rolami innymi niż Klient oraz listę kluczy REST API. Przy każdym koncie odpowiedz na pytanie: czy ta osoba nadal pracuje ze sklepem i czy potrzebuje tej roli. Pełną listę zabezpieczeń panelu znajdziesz w tekście bezpieczeństwo WooCommerce - lista kontrolna zabezpieczeń sklepu.

Po zakończeniu współpracy dostęp odbierz od razu. Usunięcie użytkownika w WordPressie wymaga decyzji, co zrobić z jego treściami - możesz przypisać je innemu użytkownikowi. Jeśli wolisz zachować konto do wglądu, zmień rolę na „Brak roli w witrynie”. Przykładowa procedura odbierania dostępu:

[#chart:woo77c]

Przy większym zespole przydaje się dziennik aktywności, który zapisuje logowania, zmiany ustawień, produktów i ról. W repozytorium WordPress.org są do tego m.in. wtyczki WP Activity Log i Simple History. Dziennik pomaga ustalić, kto i kiedy zmienił cenę lub status zamówienia, a przy incydencie bezpieczeństwa pokazuje, z którego konta wykonano zmiany.

Przydatna jest też funkcja z profilu użytkownika w WordPressie: przycisk „Wyloguj z wszystkich innych miejsc” kończy sesje danego konta na innych urządzeniach. Użyj go np. po zgubieniu służbowego laptopa albo telefonu, a przy podejrzeniu przejęcia konta dodatkowo zmień hasło i sprawdź, czy na liście użytkowników nie pojawiły się nowe konta z wysokimi rolami.

Jak Vinson pomaga z rolami i uprawnieniami w WooCommerce

W Vinson budujemy i rozwijamy sklepy na WooCommerce oraz integrujemy je z Allegro i Base. Przy dostępach do sklepu:

• przeglądamy konta użytkowników, role i klucze REST API oraz usuwamy zbędne,

• przygotowujemy role dopasowane do zespołu, np. osobną rolę dla obsługi zamówień,

• łączymy integracje przez osobne klucze z najniższymi potrzebnymi uprawnieniami,

• spisujemy procedurę nadawania i odbierania dostępów dla pracowników i podwykonawców.

Więcej o współpracy znajdziesz na stronie sklepy na WooCommerce z Vinson.

Najczęściej zadawane pytania

Jaką rolę dać pracownikowi w WooCommerce?

Osobie obsługującej zamówienia, produkty i kupony zwykle wystarcza rola Kierownik sklepu. Autorowi tekstów na blog wystarczy Autor albo Redaktor. Rolę Administrator zostaw dla właściciela i jednej zaufanej osoby technicznej.

Czy Kierownik sklepu może instalować wtyczki?

Nie. Kierownik sklepu zarządza produktami, zamówieniami, kuponami, raportami i ustawieniami WooCommerce, ale nie instaluje wtyczek, nie zmienia motywu i nie ma dostępu do ogólnych ustawień WordPressa. Te czynności wymagają roli Administrator.

Jak dać agencji dostęp do sklepu WooCommerce?

Utwórz agencji imienne konto z najniższą rolą potrzebną do zadania, zamiast podawać własne hasło. Agencja reklamowa często potrzebuje tylko dostępu do Google Analytics czy Merchant Center, nadawanego w tych narzędziach. Administratora nadaj tylko na czas prac technicznych.

Jak utworzyć klucz REST API w WooCommerce?

Wejdź w WooCommerce, Ustawienia, Zaawansowane, REST API i kliknij Dodaj klucz. Wpisz opis, wybierz użytkownika i uprawnienia: Odczyt, Zapis albo Zapis/odczyt. Klucz działa w granicach uprawnień wybranego użytkownika, więc dla integracji warto przygotować osobne konto techniczne.

Co zrobić z kontem pracownika po zakończeniu współpracy?

Odbierz dostęp od razu: usuń konto i przypisz jego treści innemu użytkownikowi albo zmień rolę na „Brak roli w witrynie”. Sprawdź też klucze REST API i hasła aplikacji tej osoby oraz dostęp do hostingu, poczty i narzędzi reklamowych.

Dobrze ustawione role w WooCommerce chronią sklep przed pomyłkami i ułatwiają pracę zespołu, bo każdy widzi to, czego potrzebuje. Jeśli chcesz uporządkować konta, role i dostęp integracji w swoim sklepie, sprawdź sklep na WooCommerce z Vinson - zaczniemy od przeglądu obecnych dostępów.