2FA w panelu: ochrona logowania admin - Module PrestaShop

Zabezpiecz zaplecze PrestaShop dzięki uwierzytelnianiu dwuskładnikowemu (2FA)

Czy wiesz, że hasło, nawet bardzo złożone, nie wystarcza już do zapewnienia bezpieczeństwa Twojego sklepu internetowego? W obliczu rosnącej liczby ataków phishingowych i kradzieży danych logowania dostęp do panelu administracyjnego jest ulubionym celem hakerów. Nasz moduł Two-Factor Authentication (2FA) dodaje drugi krok do każdego logowania: 6-cyfrowy kod z aplikacji na smartfonie pracownika. Przy ważnej licencji skradzione hasło nie wystarcza: w Twoim panelu nic się nie wykona bez tego kodu — żadna strona, żaden formularz, żadne wywołanie AJAX. Bez ważnej licencji moduł wyłącza się: żaden kod nie jest wymagany, a strony modułu są zamknięte, ale rejestracje, kody odzyskiwania, zaufane urządzenia, ustawienia i dziennik zostają zachowane.

Drugi zamek przeciw kradzieży hasła

Bezpieczeństwo Twojego obrotu i ochrona danych klientów to Twoje priorytety. Moduł opiera się na otwartym standardzie TOTP (Time-based One-Time Password, RFC 6238), obsługiwanym przez popularne aplikacje uwierzytelniające: kod zmienia się co 30 sekund i działa tylko raz. Wzmacniasz w ten sposób ochronę danych osobowych w swoim sklepie oraz zaufanie w zespole zarządzającym; dziennik dostępu pomaga udokumentować Twoje obowiązki RODO.

Logowanie, które nie spowalnia zespołu

Uwierzytelnianie dwuskładnikowe, które się omija, bo męczy, nikogo nie chroni. Moduł zmniejsza liczbę wymaganych kodów bez osłabiania kontroli:

• Jeden kod na miesiąc i na przeglądarkę: zaufane urządzenie jest zapamiętywane przez 30 dni (do ustawienia), niezależnie od adresu IP. Każdy pracownik widzi swoje urządzenia i usuwa te, których już nie używa.
• Zweryfikowana sesja przez 12 godzin: jeden kod na dzień pracy, nawet na stanowisku, które nie jest zapamiętane. Czas ustawiasz od 1 do 168 godzin, a wylogowanie ją kończy.
• Szybkie wpisywanie: kod jest wysyłany po szóstej cyfrze, a pole „Zapamiętaj to urządzenie” jest domyślnie zaznaczone (do ustawienia).

Kluczowe funkcje

• Uniwersalna zgodność: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden lub dowolna aplikacja TOTP. Aktywacja kodem QR, czytelnym kluczem konfiguracyjnym lub przyciskiem „Otwórz w aplikacji” na telefonie.
• Szczegółowe zarządzanie profilami: ustaw 2FA jako obowiązkowe dla profili krytycznych (np. SuperAdmin), a pozostali mogą włączyć je sami w „Moje uwierzytelnianie dwuskładnikowe”.
• Konfigurowalny okres przejściowy: daj współpracownikom kilka dni (domyślnie 7) na przygotowanie, zanim uwierzytelnianie stanie się obowiązkowe. Termin liczy się od dnia, w którym profil staje się obowiązkowy, a komunikat pokazuje pozostałe dni.
• Blokada po błędnych kodach: po 5 błędnych kodach (do ustawienia) konto jest blokowane na 15 minut (do ustawienia). Blokada jest zapisana w bazie danych: ponowne logowanie nie zeruje prób.
• Panel i dziennik: superadministratorzy widzą, kto jest chroniony, kto jest zablokowany i kto musi jeszcze skonfigurować 2FA, oraz przeglądają historię weryfikacji, błędów i zmian zabezpieczeń.
• Reset współpracownika: pracownik zgubił telefon? Superadministrator resetuje lub odblokowuje jego konto kilkoma kliknięciami, potwierdzając własnym kodem.
• Kontrola przed każdą akcją: gdy moduł jest aktywny, kod jest wymagany, zanim wykona się strona, formularz lub wywołanie AJAX. Zmiana telefonu lub utworzenie nowych kodów odzyskiwania także wymaga poprawnego kodu.

Ważna licencja, ciągła ochrona

Uwierzytelnianie dwuskładnikowe działa tylko z ważną licencją. Jeśli licencja jest nieobecna, wygasła, zawieszona lub unieważniona albo domena lub podpis nie są rozpoznawane, moduł wyłącza się we wszystkich sklepach: przy logowaniu nie jest wymagany żaden kod, a strony modułu są zamknięte. Rejestracje, kody odzyskiwania, zaufane urządzenia, ustawienia i dziennik zostają zachowane, a sklep pozostaje dostępny: panel chroni wtedy samo hasło. Formularz licencji pozostaje dostępny w konfiguracji.

Aktywuj lub odnów licencję na tej stronie, wybierając kontekst obejmujący wszystkie sklepy w multisklepie: moduł włącza się natychmiast, a od następnej strony panel ponownie prosi o kod. Opłacona licencja nie jest przerywana przez pomyłkę: moduł zachowuje ochronę przez siedem dni po zapisanej dacie końca, odpytuje serwer najwyżej raz na godzinę i toleruje siedem dni odpowiedzi tymczasowych od pierwszego błędu. Odpowiedź ostateczna (licencja wygasła, zawieszona lub unieważniona, nieznana domena lub podpis) jest stosowana od razu.

Dlaczego warto wybrać to rozwiązanie dla swojego sklepu PrestaShop?

W przeciwieństwie do innych, skomplikowanych rozwiązań nasz moduł został pomyślany dla wymagających e-sprzedawców, którzy nie chcą tracić czasu. Łączy wysokie bezpieczeństwo z wygodą użytkowania.

• Spokój: Twój katalog, marże i pliki klientów są chronione podwójnym cyfrowym zamkiem.
• Zawsze jest wyjście awaryjne: 10 jednorazowych kodów odzyskiwania na pracownika, reset przez superadministratora, plik DISABLE_2FA i polecenie konsoli wepresta:2fa:disable chronią przed trwałą blokadą.
• Lekki: bez overrides, bez zewnętrznych bibliotek PHP, z szyfrowanymi i uwierzytelnianymi sekretami oraz archiwum mniejszym niż 250 KB.
• Ważna licencja, bez ponownej rejestracji: bez licencji moduł wyłącza się i zachowuje rejestracje, kody odzyskiwania i ustawienia; po aktywacji lub odnowieniu ochrona wraca bez ponownego zapisywania pracowników.

Prosta, szybka i skuteczna instalacja

Nie musisz być ekspertem od cyberbezpieczeństwa, aby chronić swój biznes. Instalacja to kilka kliknięć w menedżerze modułów. Po aktywacji moduł krok po kroku prowadzi każdego pracownika przez konfigurację aplikacji mobilnej: wystarczą dwie minuty. Wskaż profile obowiązkowe, a Twój panel PrestaShop zyska ochronę na poziomie profesjonalnym, gotową na zagrożenia współczesnego internetu.

Kompatybilność

Kompatybilny z PrestaShop 1.7.8, 8.0+ i 9.0+, z PHP 7.4 lub nowszym (rozszerzenia json, openssl i mbstring). PrestaShop 1.7.7 i wcześniejsze wersje nie są obsługiwane. Jedno archiwum pasuje do tych wersji. Interfejs jest dostępny po francusku, angielsku, hiszpańsku, włosku i polsku. W PrestaShop 1.7 strona ustawień wskazuje trzy dawne samodzielne skrypty PrestaShop (backup.php, pdf.php, get-file-admin.php) do usunięcia: odpowiadają zalogowanemu pracownikowi z pominięciem kontroli modułu.

Wsparcie jest dostępne w panelu klienta WePresta lub pod adresem mail@wepresta.shop, zgodnie z opcją wsparcia w Twojej ofercie. Przeczytaj pełną dokumentację