Bezpieczeństwo WooCommerce – SSL, PCI DSS i kompletna checklist ochrony sklepu

Sklep WooCommerce to nie zwykła strona wizytówkowa – przetwarzasz dane osobowe, adresy dostawy, historię zamówień i pośredniczysz w transakcjach płatniczych. Każda z tych warstw jest osobnym celem ataku. WooCommerce napędza ogromną część sklepów na świecie, a popularność platformy działa jak magnes na automatyczne skanery podatności, które dzień i noc przeczesują internet w poszukiwaniu nieaktualnych wtyczek.

Najczęstsze wektory ataku to: brute force na stronę logowania, wstrzykiwanie złośliwego kodu przez przestarzałe wtyczki i motywy, kradzież danych z niezabezpieczonej bazy oraz Magecart – skrypty JavaScript przechwytujące dane kart na stronie checkout. PCI DSS w wersji 4.0 dołożył wymóg aktywnego zarządzania skryptami JavaScript na stronach płatności – nowy obowiązek, którego wielu właścicieli sklepów jeszcze nie wdrożyło.

Kluczowa zmiana mentalna: bezpieczeństwo to nie jednorazowa instalacja wtyczki, tylko proces. Sklep zabezpieczony raz w dniu uruchomienia i pozostawiony bez aktualizacji przez rok jest dziś realnie bardziej narażony niż prosta strona, która jest pilnowana co tydzień.

Zdecydowana większość incydentów nie wynika z genialnych hakerów, tylko z zaniedbań po stronie właściciela. Poniższa tabela porządkuje główne źródła ryzyka według tego, jak często prowadzą do realnego włamania i jak prosto je wyeliminować.

Bez SSL (HTTPS) sklep nie powinien w ogóle działać. Przeglądarki oznaczą go jako niebezpieczny, Google obniży pozycje w wynikach wyszukiwania, a klient na widok ostrzeżenia po prostu zamknie kartę – zanim w ogóle zobaczy produkt.

PCI DSS (Payment Card Industry Data Security Standard) to zbiór wymagań bezpieczeństwa dla podmiotów dotykających danych kart płatniczych. Brzmi groźnie, ale w typowym polskim sklepie większość ciężaru bierze na siebie bramka płatności – Ty odpowiadasz głównie za to, co dzieje się na własnej stronie checkout.

Poniższa lista to minimum dla każdego sklepu WooCommerce, uporządkowane od najpilniejszych. Pierwsze sześć punktów odpowiada za większość realnej ochrony – jeśli zrobisz tylko tyle, jesteś już ponad średnią rynkową.

1. Certyfikat SSL – HTTPS wymuszony na całej stronie, nie tylko na checkout.
2. Aktualizacje – WordPress, WooCommerce, wtyczki i motyw, przeglądane co tydzień.
3. Silne hasła – minimum 16 znaków, generowane menedżerem (Bitwarden, 1Password).
4. 2FA dla administratorów – wtyczka Two Factor lub Wordfence; traktuj jako obowiązkowe.
5. Firewall – Wordfence (darmowy) albo Cloudflare WAF na poziomie DNS.
6. Backup automatyczny – UpdraftPlus lub BlogVault, minimum raz dziennie, kopia poza serwerem.
7. Limit prób logowania – Limit Login Attempts Reloaded przeciw brute force.
8. Zmiana URL logowania – WPS Hide Login, z /wp-admin/ na własny adres.
9. Wyłączenie XML-RPC – jeśli nie używasz aplikacji mobilnej WordPress.
10. Blokada edytora plików – define('DISALLOW_FILE_EDIT', true) w wp-config.php.
11. Monitoring plików – skan zmian w plikach core z alertem mailowym.
12. Content Security Policy – nagłówki HTTP ograniczające zewnętrzne skrypty.

Magecart to grupa ataków, w których złośliwy JavaScript ląduje na stronie checkout i przechwytuje dane karty w momencie ich wpisywania, wysyłając kopię na serwer przestępcy. Najgroźniejsze jest to, że atak działa nawet przy poprawnie zintegrowanej bramce PayU czy Przelewy24 – bo dane zostają wykradzione, zanim klient kliknie zapłać.

WooCommerce domyślnie przechowuje sporo danych osobowych: imiona, adresy, e-maile, telefony i pełną historię zamówień. RODO nakłada na Ciebie obowiązek ich zabezpieczenia oraz ograniczenia czasu przechowywania – a wyciek to nie tylko problem techniczny, ale i prawny.

Podejrzewasz atak? Liczy się kolejność i tempo. Poniższe kroki ograniczają straty i przywracają sklep do bezpiecznego stanu.

1. Włącz tryb konserwacji (Maintenance Mode) i wstrzymaj przyjmowanie zamówień.
2. Zmień wszystkie hasła – WordPress, FTP, baza danych, panel hostingu.
3. Przeskanuj sklep (Wordfence lub Sucuri) i zidentyfikuj złośliwy kod.
4. Przywróć stronę z czystego backupu sprzed ataku – dlatego codzienna kopia jest krytyczna.
5. Zaktualizuj WordPress, wszystkie wtyczki i motyw do najnowszych wersji.
6. Unieważnij klucze API i wygeneruj nowe (m.in. bramka płatności).
7. Jeśli wyciekły dane klientów – zgłoś naruszenie do UODO w ciągu 72 godzin (RODO).

Kluczowy detal, który ludzie pomijają: nie przywracaj backupu na ten sam, wciąż zainfekowany kod. Najpierw identyfikacja źródła i aktualizacja, dopiero potem restore – inaczej backdoor wróci tą samą dziurą w ciągu kilku dni.

W naszych wdrożeniach sklepów najczęściej widzimy ten sam wzorzec: właściciel inwestuje w drogą wtyczkę bezpieczeństwa, a jednocześnie ma wtyczki nieaktualizowane od miesięcy i jedno hasło typu imię plus rok. To jak alarm antywłamaniowy przy otwartych na oścież drzwiach.

Dlatego u nas pierwszym krokiem nie jest instalacja kolejnego pluginu, tylko ustawienie rytmu: cotygodniowy przegląd aktualizacji na kopii stagingowej, automatyczny backup poza serwerem i wymuszone 2FA dla każdego konta z dostępem do panelu. Dopiero na tym fundamencie firewall i CSP mają sens.

Najwięcej incydentów, które naprawialiśmy, dało się streścić jednym zdaniem: ktoś odłożył aktualizację na później. Jeśli planujesz nowy sklep lub porządkujesz istniejący, wpinamy te zasady już na etapie wdrożenia – zobacz naszą ofertę sklepy internetowe albo od razu napisz do nas, żeby przejrzeć Twój obecny sklep.

Pomagamy w tym na co dzień – strony internetowe.