WooCommerce Stripe Gateway: hasła klientów mogły trafić do danych zamówień. Zaktualizuj do 11.2.0 przed Black Friday

W tygodniu Black Friday nikt nie chce ruszać wtyczki płatności. Dlatego piszę o niej teraz, a nie 25 listopada. 11 listopada WooCommerce opublikował poprawkę bezpieczeństwa wtyczki WooCommerce Stripe Gateway, a przy okazji opisał błąd, który nie zniknie po samej aktualizacji: w jednej z wersji hasła części klientów mogły trafiać do danych zamówień. Do 27 listopada zostało nieco ponad dwa tygodnie. To dość, żeby zaktualizować wtyczkę spokojnie, a potem sprawdzić, gdzie jeszcze mogły zostać kopie tych haseł.

Co WooCommerce ogłosił 11 listopada i którą wersję masz

Komunikat na blogu deweloperskim WooCommerce zaczyna się od polecenia: „update the extension to 11.2.0 now. If your store needs to stay on the 11.1.x branch, update to 11.1.2.” Czyli: zaktualizuj wtyczkę do 11.2.0 od razu, a jeśli sklep musi zostać na gałęzi 11.1.x, do 11.1.2. Wtyczka w sklepie WooCommerce nazywa się też Stripe for WooCommerce, ale w panelu WordPressa zobaczysz ją jako WooCommerce Stripe Gateway.

O powadze błędów WooCommerce pisze tak: „We have no evidence that these issues have been exploited. The most significant issues could allow for fraudulent purchases.” Nie ma więc dowodów, że ktoś te błędy wykorzystał, ale najpoważniejsze z nich mogły pozwalać na oszukańcze zakupy. Więcej szczegółów komunikat nie podaje: ani typu błędów, ani ich numerów w rejestrach podatności. Ja też ich nie dopowiadam.

Wersję sprawdzisz w „Plugins” → „Installed Plugins”, przy pozycji WooCommerce Stripe Gateway. WooCommerce prosi, żeby to zrobić także wtedy, gdy masz włączone automatyczne aktualizacje albo aktualizacje prowadzi hosting. Automat, który miał działać, to nie to samo co numer wersji, który widzisz na ekranie.

Hasła w danych zamówień: kiedy Twój sklep był narażony

Ten fragment komunikatu dotyczy wersji 10.9.0. Hasło nowego konta mogło zostać zapisane otwartym tekstem w danych zamówienia, jeśli spełnione były trzy warunki naraz:

1. Sklep miał wtyczkę w wersji 10.9.0.
2. Strona kasy działała w klasycznym układzie (checkout bez bloków) i pokazywała przyciski Stripe Express Checkout.
3. Klient zakładał konto z hasłem przy zamówieniu i płacił Apple Pay albo Google Pay.

Jeśli Twój sklep nigdy nie stał na 10.9.0 albo nie pokazywał tych przycisków na klasycznej kasie, tej części błędu u Ciebie nie było. Aktualizacja do 11.2.0 i tak jest potrzebna z powodu pozostałych poprawek.

Kto mógł te hasła zobaczyć? Według WooCommerce administratorzy i kierownicy sklepu w szczegółach zamówienia oraz narzędzia, które pokazują metadane zamówień, np. WP-CLI (narzędzie wiersza poleceń WordPressa) i REST API (interfejs programistyczny), przez które integracje pobierają dane ze sklepu. WooCommerce dodaje: „we’re unable to determine whether anyone viewed them”, czyli nie potrafi ustalić, czy ktoś je oglądał. Dla Ciebie to znaczy, że liczy się lista osób i firm z dostępem do zamówień w tym okresie. Co z tym zrobić wobec klientów, piszę niżej, w części o zmianie hasła.

Co robi aktualizacja, a czego nie

Wersja 10.9.1 przestała zapisywać nowe hasła w ten sposób. Od wersji 11.1.0 wtyczka po aktualizacji usuwa zapisane hasła z zamówień w tle. Gdy skończy, pokazuje komunikat w panelu WordPressa i wysyła e-mail do administratora. Jeśli klienci nadal logują się hasłem, które leżało w usuniętych danych, e-mail podaje liczbę takich kont.

Czyszczenie ma dwie granice. Pierwsza: nie zmienia i nie resetuje haseł klientów. Hasło znika z zamówienia, ale nadal działa na koncie. Druga: obejmuje tylko dane zamówień w samym sklepie.

Kopie poza zamówieniami

Tu ten wpis różni się od tego, co opisałem przy łatkach PrestaShop przed Black Friday. Tam aktualizacja zamykała problem. Tu dane mogły już wyjść ze sklepu do kopii, a aktualizacja ich stamtąd nie usunie.

Jeśli Twój sklep spełniał trzy warunki, WooCommerce pisze wprost: „check backups, order exports, and services that sync order data for copies of the stored passwords, even if you receive no email.” Sprawdź kopie zapasowe, eksporty zamówień i usługi, które synchronizują dane zamówień, nawet jeśli e-mail nie przyszedł. W sklepie to zwykle trzy miejsca: kopie robione przez hosting albo wtyczkę, pliki eksportu zamówień do księgowości lub arkusza oraz integracje, które pobierają zamówienia, np. system magazynowy, program do faktur czy hurtownia danych. Zrób listę tych miejsc i przy każdym zapisz, kto nim zarządza. Bez tej listy nie odpowiesz na pytanie, gdzie jeszcze mogą leżeć hasła.

Czy prosić klientów o zmianę hasła

Komunikat kończy tę część zdaniem: „Consider asking affected customers to reset their store password and change it anywhere else they used it.” WooCommerce sugeruje więc rozważenie prośby, żeby klienci, których to dotyczy, zmienili hasło w sklepie i wszędzie tam, gdzie używali tego samego. To słowo „rozważ”, nie polecenie.

Decyzja należy do sklepu i zależy od dwóch rzeczy, które już ustalisz: czy sklep spełniał trzy warunki z wersją 10.9.0 i czy e-mail po aktualizacji podał liczbę kont, które nadal używają takiego hasła. Ewentualne obowiązki wobec klientów i urzędów to sprawa prawnika.

Aktualizacja w sezonie: wymagania i kolejność

Wersje 11.1.2 i 11.2.0 wymagają WordPress 6.9 i WooCommerce 11.0. Jeśli Twój sklep stoi niżej, aktualizacja wtyczki płatności pociąga za sobą aktualizację samego sklepu, a to większa zmiana. Wtedy zaczynasz od kopii i testu na kopii sklepu, a nie od przycisku w panelu. Jak oddzielić poprawki bezpieczeństwa od zmian, które poczekają do stycznia, opisałem w tekście o zamrożeniu zmian przed czwartym kwartałem. Jeśli przy okazji sprawdzasz zgodność serwera, przyda się wpis o tym, której wersji języka PHP wymaga WooCommerce 11.5.

Jeśli musisz zostać na gałęzi 11.1.x, wersję 11.1.2 instaluje się ręcznie: pobierasz ją z „Previous Versions” w katalogu wtyczek WordPress.org i wgrywasz plik w panelu. Po każdej aktualizacji złóż testowe zamówienie z płatnością Stripe, najlepiej z Apple Pay albo Google Pay, jeśli je oferujesz.

Uwaga na podobne nazwy: tego samego dnia wyszedł WooCommerce 11.3.0, z aktualizacją bazy danych. To aktualizacja samego sklepu, a nie wtyczki Stripe, i nie trzeba jej łączyć z poprawką płatności.

Każda kopia sklepu, także testowa

WooCommerce prosi o sprawdzenie wersji na każdej witrynie, którą zarządzasz, także na publicznie dostępnych kopiach testowych i deweloperskich (staging). Kopia testowa może mieć te same zamówienia i tę samą wtyczkę co sklep, a przy aktualizacji łatwo o niej zapomnieć.

Zapisuj, którą wersję sprawdzasz, gdzie i kiedy. Jeśli sklep utrzymuje hosting albo wykonawca, poproś go o potwierdzenie zainstalowanej wersji. Jak podzielić takie zadania z hostingiem, pokazuje wpis o krytycznych poprawkach na serwerach sklepów.

Co zrobić do Black Friday

W tym tygodniu:

1. Sprawdź wersję WooCommerce Stripe Gateway na sklepie i na każdej kopii.
2. Zaktualizuj do 11.2.0, a jeśli musisz zostać na 11.1.x, do 11.1.2; najpierw sprawdź, czy masz WordPress 6.9 i WooCommerce 11.0.
3. Po aktualizacji poczekaj na komunikat w panelu i e-mail o usunięciu haseł; zapisz liczbę kont, jeśli e-mail ją poda.
4. Przejrzyj kopie zapasowe, eksporty zamówień i integracje pod kątem kopii haseł.
5. Zdecyduj, czy prosisz klientów o zmianę hasła.
6. Złóż testowe zamówienie z płatnością Stripe.

W najbliższym kwartale warto zrobić z tego stałą praktykę: listę wtyczek płatności z wersjami, sprawdzaną raz w miesiącu, i listę miejsc, do których trafiają dane zamówień. Przy następnym komunikacie od producenta wtyczki nie zaczniesz od szukania, gdzie co jest, tylko od sprawdzenia wersji i odhaczenia listy.

Jeśli chcesz przejść przez tę listę z kimś, kto zna techniczną stronę sklepu, umów bezpłatną konsultację.