Audyt techniczny brzmi jak usługa, której efekt trudno sobie wyobrazić przed zakupem. Klient wie, że sklep działa wolno albo że coś się psuje po aktualizacjach, ale nie wie, co konkretnie dostanie w raporcie.
Ten wpis jest odpowiedzią na to pytanie od strony praktycznej. Nie opisuje metodologii, tylko to, co realnie znajdujemy w sklepach i na stronach, które trafiają do nas na audyt. Pięć rzeczy powtarza się na tyle często, że można je wymienić z pamięci.
Kontekst: większość audytów, które robimy, dotyczy sklepów przejętych po innym wykonawcy albo takich, które przez kilka lat rosły bez planu. To nie są zaniedbane sklepy prowadzone przez ludzi, którym nie zależy. To są sklepy, które zarabiają, a technicznie nikt ich nie pilnował, bo nie było komu.
1. Moduły i wtyczki z podatnościami, których nikt nie łata
Najpoważniejsze znalezisko i jednocześnie najczęstsze. Moduł kupiony trzy lata temu robi dokładnie to, co robił w dniu zakupu, więc nikt na niego nie patrzy. W tym czasie autor wydał dwie poprawki bezpieczeństwa, a sklep ich nie dostał, bo nikt nie odnowił licencji albo nikt nie sprawdził, że jest co pobierać.
Problem nie polega na tym, że moduł jest zły. Polega na tym, że o jego dziurze wie każdy, kto czyta listy podatności, a nie wie o niej właściciel sklepu. Skanery szukające podatnych wersji chodzą po internecie automatycznie i nie wybierają celów według wielkości firmy.
W raporcie dostajesz listę modułów z wersją zainstalowaną, wersją aktualną i informacją, czy dla tej różnicy istnieje znana podatność. Osobno zaznaczamy te, których autor już nie utrzymuje, bo tam aktualizacja nie przyjdzie nigdy i trzeba szukać zamiennika.
2. Słabe hasła pracowników
Rzecz, o której nikt nie myśli jako o problemie technicznym, a która przewraca całą resztę zabezpieczeń.
Typowy obraz: sklep ma sześć kont administracyjnych, z czego dwa należą do osób, które już nie pracują w firmie, jedno do agencji, z którą współpraca skończyła się rok temu, a hasło do konta „magazyn” ma osiem znaków i nazwę firmy w środku. Do tego rzadko włączone jest uwierzytelnianie dwuskładnikowe, choć PrestaShop i WordPress oba je obsługują.
| Co sprawdzamy w kontach | Typowe znalezisko |
|---|---|
| Liczba kont z pełnymi uprawnieniami | Więcej, niż ktokolwiek w firmie pamięta |
| Konta osób spoza firmy | Aktywne konta byłych wykonawców |
| Siła haseł i ich powtarzalność | Jedno hasło do panelu, FTP i bazy |
| Uwierzytelnianie dwuskładnikowe | Wyłączone albo włączone tylko dla właściciela |
| Historia logowań | Brak jakiegokolwiek rejestru |
To jest najtańsza pozycja w każdym raporcie. Naprawa nie wymaga programisty, tylko godziny czasu i decyzji, kto ma mieć dostęp do czego.
3. Brak zabezpieczeń i błędne uprawnienia folderów
Warstwa, której nie widać z panelu, więc nikt jej nie sprawdza, dopóki nie stanie się coś złego.
Katalogi z uprawnieniami pozwalającymi zapisywać każdemu procesowi na serwerze. Katalog z kopiami zapasowymi dostępny publicznie pod przewidywalnym adresem, czyli pełna baza sklepu do pobrania przez każdego, kto zgadnie nazwę pliku. Wystawione na zewnątrz pliki konfiguracyjne z danymi dostępu do bazy. Włączone listowanie zawartości katalogów. Panel administracyjny pod domyślnym, znanym adresem, bez żadnego ograniczenia liczby prób logowania.
Żadne z tych ustawień samo w sobie nie jest włamaniem. Każde z nich skraca drogę komuś, kto już próbuje.
4. Wiele niepotrzebnych modułów i wtyczek
Najczęstsza przyczyna wolnego sklepu, o której właściciel dowiaduje się z zaskoczeniem, bo szukał winy w hostingu.
Sklep, który działa od kilku lat, zbiera moduły w sposób naturalny. Ktoś testował dodatek do wysyłki i go nie usunął. Poprzedni wykonawca zostawił trzy narzędzia do tego samego. Jest moduł do wyskakującego okienka z promocją sprzed dwóch świąt Bożego Narodzenia. W sumie czterdzieści kilka modułów, z czego realnie używanych jest może dwadzieścia.
Nieużywany moduł nie jest neutralny. Ładuje swoje pliki na każdej podstronie, dopisuje zapytania do bazy, czasem podpina się pod proces zakupowy i, jak w punkcie pierwszym, zostaje w sklepie ze swoimi podatnościami.
Uwaga praktyczna: sama liczba modułów niewiele mówi. Sklep z pięćdziesięcioma lekkimi modułami może działać szybciej niż sklep z piętnastoma, z których jeden dopisuje zapytanie do bazy przy każdym wyświetleniu produktu. W raporcie liczy się nie licznik, tylko to, co konkretnie robi każdy dodatek i kiedy się ładuje.
5. Brak aktualizacji, czyli słabe wyniki wydajnościowe
Ostatnie znalezisko spina cztery poprzednie. Sklep stoi na wersji platformy sprzed kilku lat, na wersji PHP, która sama w sobie jest wolniejsza od aktualnej, z modułami, które nie były ruszane od wdrożenia.
Efektem są słabe wyniki w pomiarach wydajności i, co ważniejsze, realnie wolniejsze ładowanie kategorii i karty produktu. Część tego da się nadrobić konfiguracją cache’u i optymalizacją obrazów. Części nie da się, bo problem siedzi w wersji, na której sklep stoi.
To jest moment, w którym audyt przestaje być listą usterek, a staje się materiałem do decyzji: czy naprawiamy to, co jest, czy planujemy migrację na nowszą wersję. Odpowiedź zależy od tego, ile z tych czterdziestu modułów przejdzie, a to wiadomo dopiero po inwentaryzacji.
Czego w audycie technicznym nie ma
Warto powiedzieć wprost, żeby nie było nieporozumień przy zamawianiu. Audyt techniczny nie ocenia widoczności w wyszukiwarce, nie dobiera słów kluczowych i nie ocenia działań marketingowych. To osobna usługa, której nie świadczymy.
Audyt techniczny ocenia to, jak sklep albo strona są zbudowane i czy działają poprawnie: wersje, moduły, wydajność, bezpieczeństwo, uprawnienia, jakość kodu i integracji. Obie usługi kończą się słowem „audyt” i na tym podobieństwo się kończy.
Jak to wygląda od strony zamówienia
| Zakres | Cena | Czas |
|---|---|---|
| Audyt sklepu PrestaShop (wersja 8.0 i nowsze) | od 2 999 zł netto, nie więcej niż 5 000 zł netto | 5 do 10 dni roboczych |
| Audyt strony WordPress i sklepu WooCommerce | od 1 999 zł netto, nie więcej niż 4 000 zł netto | 5 do 10 dni roboczych |
Przy PrestaShopie starszym niż 8.0 wycena jest indywidualna, bo zakres pracy rośnie nieproporcjonalnie. Czas liczymy od momentu otrzymania wszystkich dostępów, nie od podpisania. Jeśli zdecydujesz się zlecić nam naprawę znalezionych rzeczy, koszt wdrożenia obniżamy adekwatnie do zakresu prac.
Audyt robimy indywidualnie, na podstawie wstępnego wywiadu i pierwszego sprawdzenia. Nie mamy gotowego szablonu raportu, do którego wpisujemy Twój sklep, bo sklep z jednym dostawcą i sklep z pięcioma hurtowniami wymagają zupełnie innej uwagi.
Nie wiesz, czy Twój sklep potrzebuje audytu? Napisz, co się dzieje i od kiedy. Czasem wystarczy jedna rozmowa i wskazanie oczywistej przyczyny, a wtedy powiemy to zamiast sprzedawać raport.
