Luki w PrestaShop będą się pojawiać. Zabezpiecz panel administratora uwierzytelnianiem dwuskładnikowym

Jeśli obawiasz się, że skradzione hasło administratora otworzy panel Twojego sklepu, zrób dwie rzeczy: aktualizuj PrestaShop do najnowszej wersji i dodaj uwierzytelnianie dwuskładnikowe (2FA). Z 2FA do zalogowania potrzebny jest też jednorazowy kod generowany na telefonie każdego pracownika. Aktualizacja zamyka znane luki. 2FA sprawia, że samo wykradzione hasło nie wystarczy.

Luki będą się pojawiać zawsze, a AI przyspiesza tempo

Każde oprogramowanie ma błędy. Wychodzą na jaw z czasem i są poprawiane w nowych wersjach. PrestaShop 9.2 ukazał się 30 września 2026 r. Kilka tygodni wcześniej PrestaShop 9.1.5 poprawił pięć podatności zgłoszonych w ramach skoordynowanego ujawniania (coordinated disclosure). Wydany równocześnie PrestaShop 8.2.8 również je poprawia.

Jedną z nich była SQL injection w filtrach list panelu administracyjnego. Znalazł ją Claude (Anthropic) w ramach programu Coordinated Vulnerability Disclosure firmy Anthropic, a firma Doyensec ją zweryfikowała i zgłosiła. Innymi słowy, AI już znajduje prawdziwe luki.

Według raportu Verizon DBIR 2026 wykorzystanie podatności jest dziś najczęstszym sposobem uzyskania pierwszego dostępu. Po raz pierwszy w 19-letniej historii raportu wyprzedziło kradzież danych logowania. Verizon wiąże pogorszenie łatania z gwałtownym wzrostem liczby podatności i spodziewa się, że wykorzystanie AI do ich wyszukiwania, przez badaczy albo napastników, dołoży kolejne obciążenie. Uwaga: dane raportu pochodzą sprzed „eksplozji” badań wspomaganych przez AI.

Co PrestaShop daje standardowo przy logowaniu do panelu

Standardowo PrestaShop wymaga do wejścia do panelu administracyjnego tylko hasła. A hasło można wyłudzić phishingiem, odgadnąć albo użyć ponownie z innej strony, która padła ofiarą wycieku. Verizon zwraca uwagę, że skradzione dane logowania są pakowane i sprzedawane przez brokerów dostępu (initial access brokers). Ostrzega też, że pretexting (wymyślony scenariusz, który ma skłonić ofiarę do oddania informacji albo dostępu) coraz częściej otwiera drogę ransomware i wymuszeniom. CISA podsumowuje to tak: użytkownicy z włączonym uwierzytelnianiem wieloskładnikowym są znacznie rzadziej ofiarami włamań.

Jak włączyć uwierzytelnianie dwuskładnikowe naszym modułem

Żeby dodać ten drugi składnik, przygotowaliśmy moduł uwierzytelnianie dwuskładnikowe (2FA) do logowania w back office PrestaShop. Po haśle każdy pracownik wpisuje 6-cyfrowy kod generowany na jego telefonie. Moduł jest zgodny z Twoim PrestaShop. Nie korzysta z usług zewnętrznych, subskrypcji ani klucza API: kody są sprawdzane na Twoim własnym serwerze.

Potrzebujesz tylko dwóch rzeczy. Po pierwsze, aplikacji TOTP (RFC 6238) na telefonie każdego pracownika, np. Google Authenticator, Authy, 2FAS lub Microsoft Authenticator. Po drugie, bezpiecznego źródła losowości na serwerze. Jeśli go nie ma, moduł to zgłosi.

1. Otwórz konfigurację. Wejdź w konfigurację modułu.
2. Utwórz swój klucz. W „Zarządzanie 2FA pracowników”, we własnym wierszu, kliknij „Wygeneruj klucz 2FA”. Zeskanuj kod QR aplikacją i wpisz 6-cyfrowy kod.
3. Zapisz kod odzyskiwania. Jest osobisty, jednorazowy i ma format XXXX-XXXX-XXXX. Przyda się, jeśli zgubisz telefon.
4. Wymuś 2FA dla całego zespołu. W „Ustawienia globalne” włącz „Wymuś 2FA dla wszystkich pracowników”, gdy co najmniej jeden administrator ma już swój klucz. Kto go nie ma, przy następnym logowaniu przejdzie przez prowadzoną konfigurację.
5. Ustaw częstotliwość i powiadomienia. Opcjonalnie dodaj „Adresy IP zwolnione z 2FA”. W „Żądanie nowego kodu” wybierz, czy kod ma być wymagany przy każdym logowaniu, czy co 1, 4, 8 lub 24 godziny, co tydzień, co 15 dni lub co miesiąc. Następnie włącz, w zależności od potrzeb, „Zapamiętuj zaufane urządzenia”, „E-mail przy nowym połączeniu” lub „E-mail przy nieudanych próbach”.
6. Kontroluj logowania. Znajdziesz je w zakładce „Dziennik aktywności”.

Co zawiera moduł

Przed listopadową kampanią: domknij dostęp do panelu

Planujesz w listopadzie dodatkowe osoby w zespole albo dostęp dla agencji? Włącz „Wymuś 2FA dla wszystkich pracowników”, zanim zaczną. Dzięki temu każde nowe konto skonfiguruje klucz przy pierwszym logowaniu. Włącz też e-mail przy nieudanych próbach: dowiesz się o nich bez otwierania panelu. Twoi klienci niczego nie zauważą, bo chronione jest tylko logowanie pracowników.

Najczęstsze pytania