WooCommerce, 8 rzeczy, które chronią Twój sklep i klientów
WooCommerce to najpopularniejszy sposób na sklep w oparciu o WordPress. Zaleta: elastyczność i ogrom dodatków. Wada: każdy dodatek to potencjalna luka, a popularność sprawia, że sklepy WooCommerce są masowo skanowane przez boty w poszukiwaniu słabych punktów.
Sklep to nie zwykła strona, przepływają przez niego pieniądze i dane klientów. Poniżej osiem rzeczy, które realnie podnoszą jego bezpieczeństwo.
1. Aktualizuj wszystko: regularnie
WordPress, WooCommerce, wtyczki i motyw. Większość udanych ataków wykorzystuje luki już załatane, których właściciel po prostu nie zainstalował. Włącz automatyczne aktualizacje przynajmniej dla wtyczek i sprawdzaj sklep po każdej większej zmianie.
2. Ogranicz liczbę wtyczek do niezbędnego minimum
Każda wtyczka to kod, który może mieć lukę. Im mniej dodatków, tym mniejsza powierzchnia ataku. Przejrzyj listę i usuń (nie tylko dezaktywuj) wszystko, czego realnie nie używasz.
3. Nie instaluj pirackich („nulled") wtyczek i motywów
Darmowa wersja płatnej wtyczki z niepewnego źródła to klasyczna pułapka, bardzo często zawiera ukryty złośliwy kod. W sklepie, gdzie w grę wchodzą płatności, to szczególnie groźne. Oszczędność kilkuset złotych może kosztować Cię cały sklep.
4. Płatności przez renomowaną bramkę
Najlepiej, gdy dane karty nigdy nie trafiają na Twój serwer. Korzystaj z bramek jak Przelewy24, PayU, Stripe czy BLIK, gdzie płatność odbywa się po stronie operatora. Wtedy nawet włamanie na sklep nie oznacza wycieku numerów kart.
Najczęstszy cichy atak na sklepy to podmiana strony płatności tak, by kopiowała dane kart. Zewnętrzna bramka eliminuje ten scenariusz u źródła.
5. Silne logowanie i 2FA
Konto administratora sklepu to klucz do wszystkiego. Zadbaj o:
- mocne, unikalne hasła (menedżer haseł to ułatwia),
- dwuskładnikowe logowanie (2FA) dla kont administratorów i menedżerów sklepu,
- limit nieudanych prób logowania, żeby zablokować ataki zgadujące hasła,
- brak konta o nazwie „admin".
6. Pilnuj kont użytkowników i ról
W sklepie łatwo o rozrost uprawnień, dawni pracownicy, testowe konta, integracje. Regularnie przeglądaj listę użytkowników i usuwaj to, co niepotrzebne. Nagłe pojawienie się nieznanego administratora to sygnał włamania.
7. Kopia zapasowa: częsta i poza serwerem
Sklep zmienia się codziennie: zamówienia, klienci, magazyn. Backup powinien być codzienny i przechowywany poza serwerem sklepu. Raz na jakiś czas sprawdź, czy da się z niego odtworzyć sklep, kopia, której nie przetestowałeś, to tylko założenie.
8. HTTPS na całym sklepie i monitoring
Cały sklep musi działać po HTTPS z ważnym certyfikatem to warunek zaufania i poprawnych płatności. Poza tym warto monitorować sklep: czas działania, integralność kodu i nietypowe zmiany. Im szybciej wyłapiesz problem, tym mniejsze straty.
Sklep zarabia, gdy działa i budzi zaufanie
Włamanie do sklepu to nie tylko koszt naprawy to utrata zamówień w czasie przestoju i, co gorsza, utrata zaufania klientów. Dlatego sklepy szczególnie zyskują na stałej opiece: aktualizacjach, monitoringu i szybkiej reakcji.
Naprawa WooCommerce, gdy sklep już się posypał
Powyższe punkty zapobiegają kłopotom, ale czasem jest już po fakcie: sklep pokazuje białą stronę albo „There has been a critical error", po aktualizacji wtyczki rozjechał się wygląd lub koszyk, płatności przestały działać, albo WooCommerce złapał infekcję. Naprawa sklepu WooCommerce polega wtedy na znalezieniu winnej wtyczki czy motywu (tryb debug, logi), cofnięciu wadliwej aktualizacji, przywróceniu z kopii zapasowej i zamknięciu luki, przez którą weszła infekcja, a wszystko tak, żeby nie stracić zamówień ani danych klientów. W e-commerce każda godzina przestoju to realna strata, dlatego liczy się szybka i spokojna reakcja, a nie „klikanie na oślep".
Masz sklep na WooCommerce i chcesz spać spokojnie, albo właśnie przestał działać? Napisz do nas, sprawdzimy, gdzie są słabe punkty lub co się zepsuło, i pomożemy to domknąć.