Profili e permessi dei dipendenti nel back-office di PrestaShop

Apri l'elenco dei dipendenti del tuo back-office e conta quanti sono superamministratori. In molti negozi la risposta è «tutti»: il titolare, chi si occupa della logistica, la persona dell'assistenza clienti, l'agenzia che ha fatto il tema anni fa e un account chiamato «negozio» la cui password conosce mezza squadra. Funziona fino al giorno in cui qualcuno sbaglia, se ne va in malo modo o si fa rubare la password.

Come PrestaShop organizza gli accessi

Gli accessi si gestiscono in Parametri Avanzati → Team, con tre elementi:

• Dipendenti: ogni persona con la sua email, la sua password e un profilo assegnato.
• Profili: gruppi di permessi. PrestaShop ne include alcuni di serie (SuperAdmin, Logistica, Traduttore, Venditore) e puoi crearne di tuoi.
• Permessi: per ogni profilo, cosa può vedere, aggiungere, modificare ed eliminare in ogni sezione del menu, e quali moduli può configurare.

Il profilo SuperAdmin non si può limitare: ha accesso a tutto, compresi i dipendenti, la configurazione dei metodi di pagamento, l'installazione dei moduli e il webservice. Per questo è il profilo da distribuire con più attenzione.

Il principio del minimo indispensabile

Ogni persona dovrebbe avere solo i permessi che le servono per il lavoro di tutti i giorni. Non è sfiducia: è limitare ciò che può andare storto con una password rubata o un clic sbagliato. Un punto di partenza ragionevole:

I superamministratori dovrebbero essere due al massimo: il responsabile del negozio e chi ne cura la parte tecnica. Se la tua agenzia deve entrare ogni tanto, dalle un account proprio da attivare quando serve e disattivare alla fine.

Perché non condividere gli account

L'account condiviso è comodo e ha tre problemi seri:

1. Non sai chi ha fatto cosa. Se un prezzo risulta sbagliato o un ordine cambia stato, lo storico dice «negozio», non una persona.
2. Non puoi disattivarne uno senza disturbare tutti. Quando qualcuno se ne va, o cambi la password e avvisi gli altri, o la lasci com'è. Quasi sempre la si lascia com'è.
3. La password gira. Finisce in un messaggio WhatsApp, su un post-it o nel gestore di password di un portatile personale.

Un account per persona, sempre, anche se sono due persone e una entra una volta al mese.

Quando qualcuno lascia l'azienda

È il momento più trascurato. Un elenco di passaggi che sta in un promemoria:

1. Disattiva l'account il giorno stesso, non eliminarlo. Disattivato non può entrare, e conservi la sua traccia in ordini, messaggi e storici.
2. Controlla quali altri accessi aveva: FTP, pannello dell'hosting, email del negozio, account dei gateway di pagamento, Google, social network, fornitori. Il back-office è solo uno di questi.
3. Cambia le password che conosceva, anche se condivise «solo un attimo».
4. Controlla le chiavi del webservice che avesse creato. Una chiave API non dipende dall'account del dipendente e continua a funzionare anche se lo disattivi.
5. Controlla i moduli che avesse installato nelle ultime settimane.

Account che nessuno ricorda

Oltre alle uscite, controlla ogni pochi mesi l'elenco completo:

• Dipendenti che non entrano da molto tempo.
• Email di domini che non sono il tuo né quello della tua agenzia attuale.
• Account di prova creati durante un'installazione o una migrazione.
• Più superamministratori di quanti ricordi di aver creato.

Un caso tipico

Un negozio di articoli sportivi cambia agenzia. L'agenzia precedente aveva due account da superamministratore, uno creato per uno stagista rimasto un'estate. Nessuno li disattiva perché «tanto non entrano più». Mesi dopo, una di quelle password compare nella fuga di dati di un altro servizio dove era stata riutilizzata, e qualcuno entra nel back-office con quella. Non è servita nessuna vulnerabilità: è bastato un account che non aveva più un proprietario.

Un account dimenticato con una password debole è una porta che nessuno sorveglia. E se compaiono superamministratori che nessuno ha creato, non è una svista: è la traccia tipica di una SQL injection in un modulo, e va trattata come un incidente.

Password e accesso

• Password lunghe e uniche per ogni dipendente, salvate in un gestore di password.
• Cartella del back-office con un nome proprio, non quella predefinita dell'installazione.
• HTTPS in tutto il back-office, senza eccezioni.
• Autenticazione a due fattori se la tua versione o un modulo lo consente, a partire dai superamministratori.
• PrestaShop e moduli aggiornati: i permessi non servono a niente se un difetto in un modulo permette di creare un amministratore senza passare dal modulo di registrazione.

Assistenza al cliente senza dare più permessi

Un motivo frequente per distribuire superamministratori è che l'assistenza clienti «ha bisogno di vedere ciò che vede il cliente». La soluzione abituale è chiedere la password al cliente o creare account di prova, e sono entrambe cattive idee. Meglio avere un modo controllato per entrare come il cliente, limitato ai profili che scegli tu e con ogni accesso registrato.

Come risolverlo in PrestaShop

RKR Security Alert salva un'istantanea dei dipendenti e degli account del webservice e ti avvisa via Telegram di ogni creazione, modifica o eliminazione, evidenziando gli account da superamministratore e le promozioni a quel profilo, anche se fatte con SQL diretto. Avvisa anche quando un dipendente entra nel back-office da un IP per lui nuovo e segnala nella sua verifica gli account amministratore inattivi. RKR Acceso maestro risolve l'assistenza: permette di entrare nell'account di un cliente dalla sua scheda, dal suo ordine o dagli elenchi, con un link monouso, solo per i profili dipendente che scegli (per impostazione predefinita, solo SuperAdmin) e con un registro di quale dipendente è entrato in quale cliente, quando e da quale IP.