← Wróć do bloga

W wielu sklepach panel Magento wygląda podobnie: kilka kont z pełnym dostępem, jedno wspólne „na biuro” i konto agencji, z którą współpraca skończyła się dawno temu. Nikt tego nie planował — po prostu narosło. Tymczasem przejęcie konta administratora to jedna z typowych dróg ataku na sklep. Szerzej o zagrożeniach piszemy w tekście o bezpieczeństwie sklepu Magento; tu skupiamy się na tym, co można uporządkować w samym panelu.

Jak uporządkować konta w panelu Magento. Uprawnienia przypisuje się rolom, a role kontom: na przykład obsługa zamówień, katalog i treści, marketing oraz administrator z pełnym dostępem dla jak najmniejszej liczby osób. Dwie pułapki własnych ról: dostęp do narzędzia uprawnień i brak zasobu Two Factor Auth. Tylko w Adobe Commerce: zakres roli do wybranych witryn i dziennik działań administratorów. Gdy ktoś odchodzi: blokada konta, integracje i tokeny API, zmiana haseł do serwera, bazy i hostingu

Najpierw rola, potem konto

Uprawnień w Magento nie przypisuje się osobom, tylko rolom. Rolę tworzy się w System → Permissions → User Roles, a dopiero potem dodaje użytkowników i przypisuje im odpowiednią rolę.

W zasobach roli (Role Resources) zaznacza się, do których części panelu rola ma dostęp: zamówień, katalogu, klientów, raportów, konfiguracji. Drzewo jest szczegółowe, więc można zbudować na przykład:

  • Obsługę zamówień — zamówienia, faktury, wysyłki i zwroty, bez konfiguracji sklepu.
  • Katalog i treści — produkty, kategorie i strony CMS, bez dostępu do klientów.
  • Marketing — promocje i newslettery, bez ustawień płatności.
  • Administratora — pełny dostęp, dla jak najmniejszej liczby osób.

Dwie pułapki przy własnych rolach

Dostęp do samych uprawnień. Adobe ostrzega wprost: ograniczając rolę, trzeba wyłączyć jej dostęp do narzędzia uprawnień (Permissions). W przeciwnym razie użytkownik może sam dopisać sobie brakujące prawa — i cała rola traci sens.

Dwuskładnikowe logowanie. Od wersji 2.4.0 2FA w panelu jest domyślnie włączone i wymagane. Jeśli własna rola nie ma zaznaczonego zasobu Two Factor Auth, nowy użytkownik nie skonfiguruje 2FA przy pierwszym logowaniu i nie wejdzie do panelu. Objaw wygląda jak błąd, a to po prostu brakujący punkt w drzewie uprawnień.

Czego Magento Open Source nie ma

Dwie funkcje, o które często pytają właściciele sklepów, są dostępne tylko w Adobe Commerce:

  • Zakres roli (Role Scopes) — ograniczenie roli do wybranych witryn lub widoków sklepu. Przydaje się przy kilku sklepach na jednej instalacji: zespół jednej marki nie widzi zamówień drugiej.
  • Dziennik działań administratorów (Action Logs) — kto, kiedy i z jakiego adresu IP wykonał w panelu daną operację.

W Magento Open Source obie potrzeby zaspokaja się rozszerzeniami. Warto to wiedzieć przed wyborem platformy — o pozostałych różnicach piszemy w porównaniu Magento Open Source i Adobe Commerce.

Ustawienia, które warto sprawdzić

W Stores → Configuration → Advanced → Admin → Security jest kilka ustawień, które mają bezpośredni wpływ na bezpieczeństwo kont:

  • Blokada po nieudanych logowaniach — domyślnie konto blokuje się po 6 nieudanych próbach. Nie warto tego wyłączać.
  • Czas sesji — panel domyślnie wylogowuje po 900 sekundach, czyli 15 minutach bezczynności. Wydłużanie tego czasu to wymiana bezpieczeństwa na wygodę.
  • Współdzielenie konta (Admin Account Sharing) — przy ustawieniu „No” konto może mieć tylko jedną aktywną sesję naraz.
  • Okres ważności hasła — można ustawić, po ilu dniach hasło do panelu wygasa.

Jedno konto = jedna osoba

Wspólne konto jest wygodne tylko do pierwszego problemu. Nie wiadomo, kto zmienił cenę ani kto anulował zamówienie, a dwuskładnikowe logowanie traci sens, gdy kod zna kilka osób. Konto imienne to warunek, żeby dziennik działań — jeśli go macie — w ogóle coś mówił.

To samo dotyczy agencji i freelancerów: osobne konto dla każdej osoby, z rolą odpowiednią do zakresu prac, zamiast pełnego administratora „na wszelki wypadek”.

Gdy ktoś odchodzi — lista kontrolna

  1. Zablokuj albo usuń konto w panelu. Konto można ustawić jako nieaktywne zamiast je usuwać.
  2. Sprawdź integracje i tokeny API (System → Extensions → Integrations) utworzone przez tę osobę albo dla jej narzędzi.
  3. Zmień hasła i klucze znane tej osobie poza panelem — do serwera (SSH, SFTP), bazy danych, hostingu i bramki płatności.
  4. Poszukaj kont, których nikt nie rozpoznaje. Nieznane konto administratora to jeden z sygnałów włamania.
  5. Przy odejściu agencji upewnij się, że repozytorium kodu, dostęp do serwera i klucze dostępu do Adobe Commerce Marketplace są na koncie firmy, a nie wykonawcy.
  6. Przeglądaj role regularnie — na przykład raz na kwartał, a nie tylko przy odejściach.

Ostatni punkt jest najważniejszy, bo uprawnień rzadko się odbiera. Zwykle tylko się je dodaje.