Bezpieczeństwo WooCommerce – jak chronić sklep, klientów i płatności
Włamanie na stronę-wizytówkę jest przykre. Włamanie na sklep może kosztować pieniądze klientów, zaufanie i kłopoty z RODO. WooCommerce sam w sobie jest dojrzałym i bezpiecznym rozwiązaniem – ale sklep ma więcej punktów ataku niż zwykła strona, więc wymaga więcej uwagi.
Dlaczego sklepy są atakowane częściej?
- Skimming kart – wstrzyknięty skrypt podsłuchuje formularz płatności i wysyła dane kart do przestępców.
- Testowanie kart (card testing) – boty składają setki drobnych zamówień, sprawdzając, które z kradzionych kart działają.
- Przejmowanie kont – klientów (adresy, historia zamówień) i, co gorsze, kont z rolą „Kierownik sklepu” lub „Administrator”.
- Dane osobowe – baza klientów to cenny towar, a jej wyciek to obowiązek zgłoszenia naruszenia zgodnie z RODO.
1. Płatności poza Twoim serwerem
Najważniejsza decyzja: dane kart nie powinny w ogóle przechodzić przez Twój serwer. Korzystaj z bramek płatniczych (np. PayU, Przelewy24, Stripe, PayPal), które obsługują płatność na swojej stronie albo w zabezpieczonych polach osadzonych z ich domeny. Wtedy nawet przejęty serwer nie ma dostępu do numerów kart, a Twoje obowiązki w ramach standardu PCI DSS są dużo mniejsze.
2. Aktualizacje – ostrożnie, ale regularnie
WooCommerce, wtyczki płatności i dostaw oraz motyw sklepu aktualizuj regularnie, ale zawsze na kopii testowej najpierw. Po aktualizacji przejdź całą ścieżkę zakupu: koszyk, dostawa, płatność testowa, e-mail z potwierdzeniem. Procedurę opisałem w poradniku o bezpiecznych aktualizacjach.
3. Konta i role
- Logowanie dwuskładnikowe dla wszystkich kont z rolą „Administrator” i „Kierownik sklepu”.
- Pracownik obsługujący zamówienia nie potrzebuje roli administratora.
- Limit prób logowania – także na stronie „Moje konto”, gdzie logują się klienci.
4. Klucze API i webhooki
Integracje z hurtowniami, systemami magazynowymi czy księgowością korzystają z kluczy REST API. Przejrzyj je w WooCommerce → Ustawienia → Zaawansowane → REST API: usuń nieużywane, sprawdź, czy klucze mają minimalne uprawnienia (tylko odczyt, jeśli zapis nie jest potrzebny). W tej samej sekcji przejrzyj webhooki – nieznany adres, na który wysyłane są dane zamówień, to sygnał alarmowy.
W sklepie najgroźniejsze infekcje są niewidoczne: strona działa, zamówienia spływają, a skrypt na stronie kasy po cichu kopiuje dane klientów.
5. Ochrona strony zamówienia
- Content-Security-Policy – nagłówek, który pozwala przeglądarce wykonywać tylko skrypty z zaufanych źródeł. To jedna z najskuteczniejszych barier przeciw skimmerom.
- Monitoring zmian w plikach – nowy lub zmieniony plik JavaScript w motywie bez Twojej wiedzy to sygnał do natychmiastowej kontroli.
- Ochrona przed botami – CAPTCHA lub limit prób przy płatności ogranicza testowanie kart. Wiele bramek płatniczych ma też własne mechanizmy wykrywania nadużyć – warto je włączyć.
6. Kopie zapasowe zamówień
W sklepie każda godzina bez kopii to zamówienia, których nie odtworzysz. Bazę danych kopiuj często – nawet co kilka godzin – i przechowuj poza serwerem. Kopia plików może powstawać rzadziej.
7. Dane klientów i RODO
- Zbieraj tylko te dane, które są potrzebne do realizacji zamówienia.
- Ustaw okres przechowywania danych w WooCommerce → Ustawienia → Konta i prywatność.
- Eksporty zamówień z danymi klientów nie powinny leżeć w publicznych katalogach serwera.
Szybka lista kontrolna sklepu:
- Płatności obsługiwane przez zewnętrzną bramkę.
- 2FA dla administratorów i kierowników sklepu.
- Aktualizacje testowane na kopii, z próbnym zamówieniem.
- Przejrzane klucze REST API i webhooki.
- CSP i monitoring plików na stronie kasy.
- Kopia bazy danych co kilka godzin, poza serwerem.
Najczęstsze pytania
Czy sklep WooCommerce wymaga większych zabezpieczeń niż zwykła strona?
Tak – przetwarza dane klientów i zamówienia, więc jest atrakcyjniejszym celem. Priorytet to aktualny WordPress i wtyczki, silne logowanie z 2FA oraz regularne kopie zapasowe.
Czy dane kart klientów są u mnie bezpieczne?
Jeśli korzystasz z bramki płatności (np. Przelewy24, Stripe, PayU), dane kart nie przechodzą przez Twój serwer – i tak powinno być. Nigdy nie przechowuj pełnych danych kart w sklepie.
Jak chronić dane klientów w WooCommerce?
Wymuś HTTPS, ogranicz dostęp do panelu, rób kopie zapasowe, aktualizuj wtyczki i trzymaj się zasad RODO. Im mniej zbędnych danych zbierasz, tym mniejsze ryzyko w razie wycieku.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
