Mity o bezpieczeństwie WooCommerce, które kosztują sklepy internetowe pieniądze

Fakt: właściciele sklepów WooCommerce często wierzą, że kilka standardowych zabezpieczeń wystarczy, a potem dziwią się, gdy Google oznacza ich stronę jako niebezpieczną albo klienci zgłaszają podejrzane maile z ich domeny.

Mit 1: certyfikat SSL wystarczy do bezpieczeństwa sklepu

SSL szyfruje transmisję danych między przeglądarką a serwerem, ale nie chroni przed SQL injection, atakami brute force na panel logowania czy przestarzałą wtyczką z podatnością. Sklep może mieć zielony zamek w przeglądarce i jednocześnie działający backdoor wgrany trzy miesiące wcześniej przez zainfekowany motyw.

Mit 2: operator płatności (PayU, Przelewy24) bierze na siebie całe ryzyko

Tokenizacja płatności rzeczywiście oznacza, że numer karty nie trafia na serwer sklepu. Ale baza WooCommerce nadal przechowuje adresy, numery telefonów, historię zamówień i hashe haseł tysięcy klientów, co jest atrakcyjnym celem dla ransomware i kradzieży danych osobowych niezależnie od tego, kto obsługuje płatność.

Mit 3: wtyczka typu Wordfence załatwia sprawę w całości

Wtyczka zabezpieczająca to jedna warstwa ochrony, nie cała strategia. Bez regularnych aktualizacji jądra WooCommerce i wtyczek płatności, backupów offsite i ograniczenia liczby prób logowania, skaner wykrywa infekcję po fakcie, a nie przed nim.

Mit 4: mały sklep z 20 produktami nie jest celem hakerów

Boty skanujące podatności nie sprawdzają liczby produktów w sklepie, tylko wersję WooCommerce i listę zainstalowanych wtyczek. Sklep z niewielkim ruchem bywa infekowany właśnie po to, by wykorzystać jego domenę do rozsyłania spamu albo SEO poisoning, a właściciel dowiaduje się o tym z powiadomienia Google Search Console o treściach spam.

Koszt naprawy prostej infekcji WooCommerce wynosi zwykle 400-800 zł, ale poważne przypadki z wielowarstwowym backdoorem i wyciekiem danych klientów mogą przekroczyć 1000 zł, do czego dodaje się czas przestoju sklepu i utracone zamówienia. Więcej o samym procesie usuwania infekcji opisaliśmy w tekście Strona WordPress zhakowana, co robić krok po kroku i ile kosztuje naprawa.

Jeśli nie wiadomo, od czego zacząć ocenę własnego sklepu, sensownym punktem startowym jest audyt bezpieczeństwa, a przy planowaniu nowego sklepu warto od razu wdrożyć zabezpieczenia na etapie budowy, co opisujemy w usłudze sklepy internetowe.