Slik sjekker kunden om WooCommerce-butikken din er ekte, og slik består du testen

En forsiktig kjøper, en betalingsleverandør og Google Merchant Center sjekker en ny butikk på samme måte: de sammenligner firmaopplysningene med offentlige registre, ser på hvor gammelt domenet er, leter etter kopierte bilder og leser anmeldelser. En ærlig WooCommerce-butikk kan stryke på testen av ren slurv, for eksempel en gammel adresse i vilkårene eller en privat konto i betalingsinstruksen. Denne guiden går gjennom sjekkene fra butikkeierens side, med det du bør rette opp hos deg selv før en kunde oppdager det. Registrene og myndighetene som nevnes (KRS, CEIDG, hvitelisten, WHOIS hos dns.pl, CERT Polska, UOKiK) gjelder butikker som er registrert i Polen eller selger til polske kunder. Domenehistorikk, hengelås, bildesøk, anmeldelser, Merchant Center og WooCommerce-innstillinger fungerer likt overalt.

Veiledningen “Okazja czy pułapka?” (“Kupp eller felle?”) fra det polske forskningsinstituttet NASK, utgitt i november 2025, gjengir i delen om falske butikker tall fra CERT Polska for 2024: rundt 1 600 mottatte meldinger og rundt 14 000 registrerte tilfeller der kjente salgsplattformers profil ble misbrukt (NASK, omtrentlige tall). En kjøper som har hørt om slike svindler, sjekker hver butikk vedkommende ikke kjenner, også din.

#Slik sjekker kunden om en nettbutikk er til å stole på

Å sjekke en butikk er åpen kildeetterretning (OSINT): konklusjoner trukket bare fra offentlige kilder. Foretaksregistre, registeret over mva-registrerte, WHOIS-databasen, nettarkiver, bildesøk og anmeldelser på nettet. Ingenting av dette krever teknisk kunnskap, og derfor havner de samme stegene i forbrukerveiledninger. Sekurak og Securitum holder 29. oktober 2026 et nettkurs på polsk med tittelen “Jak się nie dać oszukać? Sprawdzamy sklepy internetowe technikami OSINT-owymi” (omtrent: Slik unngår du å bli lurt, vi sjekker nettbutikker med OSINT), der de verifiserer to butikker direkte, en åpenbar svindel og en profesjonelt utseende forfalskning (kursbeskrivelse).

Hver uoverensstemmelse kjøperen finner, ser akkurat ut som et svindelsignal. CERT Polska råder i sin handleveiledning kjøpere til å sjekke vilkår, levering, betaling og retur og være “på vakt mot alle uoverensstemmelser mellom dem” (egen oversettelse, CERT Polska). For kjøperen er to ulike adresser i bunnteksten og vilkårene et varselsignal, også når den ene bare er en glemt oppdatering.

#Hvilke firmaopplysninger en nettbutikk må vise

To polske lover setter minstekravet. Artikkel 20 nr. 3 i næringsdrivendeloven (Prawo przedsiębiorców) sier at en næringsdrivende som selger på avstand via telenett, “skal oppgi minst sitt foretaksnavn, skatteidentifikasjonsnummer (NIP) og forretningskontor eller adresse i tilbudet” (egen oversettelse, Dz.U. 2025 pos. 1480). Artikkel 5 i loven om elektroniske tjenester (ustawa o świadczeniu usług drogą elektroniczną) legger til elektroniske adresser, navn eller foretaksnavn og forretningskontor og adresse, oppgitt “på en tydelig, entydig og direkte tilgjengelig måte” (egen oversettelse, Dz.U. 2024 pos. 1513). Den statlige næringsportalen biznes.gov.pl føyer til innholdet i vilkårene organet som registrerte virksomheten, registreringsnummeret, foretaksadressen, e-post og telefon (biznes.gov.pl).

Kunden sammenligner disse opplysningene på fire steder: i bunnteksten, i vilkårene, i personvernerklæringen og på fakturaen. Deretter skriver vedkommende inn NIP i et foretakssøk. Søket i KRS (det polske rettsregisteret) viser adresse, organisasjonsform, identifikasjonsnumre, registreringsdato og endringshistorikk, mens CEIDG (registeret over enkeltpersonforetak) bare trenger for- og etternavn, NIP eller REGON (biznes.gov.pl, slik sjekker du en forretningspartner).

CERT Polska peker på en detalj til. Står det en fysisk butikk eller et selskap fra en helt annen bransje enn handel under navnet til den angivelige butikkeieren i KRS, er det et viktig varselsignal, fordi svindleren kan ha utgitt seg for å være et eksisterende selskap eller overtatt et ubrukt domene (CERT Polska). For en ærlig butikk betyr det at virksomhetsformålet i registeret bør dekke den handelen du faktisk driver. Et selskap registrert som arkitektkontor som selger kosmetikk, vekker spørsmål hos en forsiktig kunde og hos betalingsleverandøren.

Dette bør du rette opp hos deg selv:

• én versjon av foretaksnavn, NIP og adresse i bunnteksten, vilkårene, personvernerklæringen, transaksjonseposter fra WooCommerce og på fakturaer,
• en adresse som stemmer med oppføringen i KRS eller CEIDG, oppdatert samme uke som registeret etter en flytting,
• et telefonnummer og en e-postadresse som virker, fordi CERT Polska råder kjøpere til å kontakte selgeren og la være å handle hvis de ikke får svar.

#Slik sjekker du butikkens konto på hvitelisten

Det polske registeret over mva-registrerte, kalt hvitelisten (biała lista), kan søkes i etter kontonummer, NIP eller REGON (biznes.gov.pl). En kjøper som har fått betalingsinstruks, limer inn kontonummeret og ser om det tilhører selskapet i vilkårene. Det polske finansdepartementet kunngjorde lanseringen av det moderniserte registeret til 15. oktober 2026 på wykazpodatnikowvat.mf.gov.pl, og 21. oktober svarte adressen allerede (KAS).

Bedriftskunder har penger å tape her. Ifølge den polske skatteetaten KAS får et selskap som ved transaksjoner over 15 000 PLN betaler til en konto utenfor registeret, ikke fradrag for utgiften, og det hefter solidarisk med selgeren for selgerens mva-restanser. Det slipper unna hvis det varsler lederen for skattekontoret innen 7 dager etter at overføringen ble bestilt (KAS, informasjon om registeret). Regnskapsføreren hos en grossistkunde vil derfor sjekke kontoen din ved den første større bestillingen.

I WooCommerce legger du inn kontonummeret for bankoverføring i innstillingene for betalingsmåten direkte bankoverføring (i koden: bacs), og butikken viser det på ordrebekreftelsessiden og i ordre-eposten (WooCommerce). Legg inn firmakontoen som er meldt til skattekontoret. Eierens private konto, eller en konto i en annen bank enn den som står i registeret, er det første som stryker på testen.

#Slik sjekker du alderen på butikkens domene i WHOIS

Falske butikker lever kort. CERT Polska beskriver phishing-sider som registrert i store mengder, brukt kort tid etter registrering og forlatt til fordel for nye adresser (CERT Polska, advarselslisten). Derfor ser kjøperen på når domenet ble registrert. For .pl-domener viser WHOIS-databasen til registeret NASK (dns.pl/whois) opprettelsesdato og registrar. Eksempel: Et oppslag på cert.pl gir opprettelsesdato 12. mars 1998 og NASK som registrar. For alle domener er Wayback Machine den andre kilden, der ser du hvordan nettstedet så ut tidligere år.

Et ungt domene betyr ikke svindel, men sammen med lav pris og manglende firmaopplysninger blir det et sterkt signal for kjøperen. Dette kan du gjøre:

• etter et navnebytte beholder du det gamle domenet med en 301-videresending, slik at historikken under den gamle adressen leder til den nye butikken,
• skriv på “om oss”-siden hvor lenge du har drevet og under hvilket tidligere navn, i tråd med registreringsdatoen i registeret,
• ikke kjøp et domene etter et annet selskap uten å sjekke historikken i Wayback Machine, fordi gammelt innhold eller oppføringer på advarselslister følger med adressen.

#Betyr hengelåsen i nettleseren at butikken er trygg

Nei. CERT Polska svarer på spørsmålet med ett ord i veiledningen og forklarer deretter: “Svindlere har allerede utviklet metoder for å utnytte denne typen merking” (egen oversettelse, CERT Polska). NASK gjentar det i veiledningen fra 2025: Hengelåssymbolet ved adressen er ingen garanti for sikkerhet (NASK).

Et gratis sertifikat fra Let’s Encrypt utstedes automatisk: ACME-klienten “beviser overfor sertifikatutstederen (CA) at webserveren kontrollerer et domene” (egen oversettelse, Let’s Encrypt). Ingen sjekker samtidig selskapet, adressen eller om butikken i det hele tatt sender varer. HTTPS er påkrevd i en WooCommerce-butikk av andre grunner, men en forsiktig kunde blir først overbevist av firmaopplysningene, kontoen og domenehistorikken.

#Slik sjekker du om produktbildene er stjålet

Omvendt bildesøk (Google Lens, TinEye, Bing) viser hvor ellers på nettet et bilde dukker opp. Kjøperen laster opp et produktbilde og ser om det kommer fra produsentens katalog, fra en annen butikk eller fra en bildebank. NASK regner “attraktive produktbilder” blant kjennetegnene på falske butikker, ved siden av produkter fra kjente merker og kundeanmeldelser (egen oversettelse, NASK).

En butikk som bare bruker produsentens bilder, gjør ikke noe galt, men skiller seg heller ikke ut: de samme filene dukker opp i dusinvis av andre butikker, også falske. Noen egne bilder av hver bestselger (produktet på bordet ditt, pakken med fraktetikett, et bilde fra lageret) gir kjøperen bevis for at varen finnes fysisk. De samme egne bildene hjelper i resultatene fra bildesøk, som innlegget om Google Lens og bildeoptimalisering i WooCommerce forklarer.

#Slik sjekker du om anmeldelser av en butikk er ekte

Siden 1. januar 2023 har Polen fulgt reglene fra EUs Omnibus-direktiv. UOKiK varslet dem slik: “Enhver næringsdrivende som gir tilgang til produktanmeldelser, må opplyse om og hvordan den kontrollerer at de er ekte, og om den publiserer alle anmeldelser eller bare de positive. Det blir også uttrykkelig forbudt å publisere falske eller fordreide anmeldelser” (egen oversettelse, UOKiK). I en pressemelding fra juli 2024 legger myndigheten til: “Det er ikke tillatt å fjerne negative anmeldelser hvis noen faktisk var misfornøyd med produktet eller tjenesten” (egen oversettelse), og handel med falske anmeldelser kan gi bøter på opptil 10 % av omsetningen (UOKiK).

Kjøperen ser også på hvordan anmeldelsene fordeler seg over tid. CERT Polska råder til å stole mindre på butikken når det er et hull i historikken, for eksempel når de nyeste anmeldelsene er fra de siste to ukene og de forrige er over ett år gamle (CERT Polska). NASK advarer mot anmeldelser som bare er positive, eller som gjentar seg og er lagt inn på kort tid.

I WooCommerce kan du begrense anmeldelser til kunder som har kjøpt produktet, og merke dem som verifisert eier (WooCommerce). Gjør du det, skriv det i én setning ved siden av anmeldelsene: hvem som kan anmelde, og om du publiserer alle. Det oppfyller opplysningsplikten og gir samtidig kjøperen en grunn til å stole på deg. Samler du anmeldelser på en ekstern tjeneste, beskriver du kontrollmetoden der på samme måte.

#Slik utgir en falsk butikk seg for å være en ekte

En klone av en ekte butikk kopierer logo, bilder og beskrivelser, men har et annet domene og en annen konto for betaling. NASK beskriver tre varianter: etterligning av kjente butikker med bruk av logoene deres, fiktive nettsteder som forsvinner etter kort tid, og butikker som sender varer som ikke stemmer med beskrivelsen (NASK). CERT Polska legger til skrivefeil i adressen som er lette å overse, og domener som er overtatt etter selskaper som aldri drev nettbutikk.

En ærlig butikk berøres direkte av varianten CERT Polska kaller lovlig betaling i en falsk butikk: Svindleren handler samtidig i en ekte butikk med sine egne opplysninger, og offeret betaler uvitende for bestillingen hans (CERT Polska). I WooCommerce ser det ut som en helt vanlig, betalt bestilling. CERT Polska viser kjøpere som betalte med kort, til tilbakeføring (chargeback) som en forholdsvis enkel måte å få pengene tilbake på. Bruker offeret den, kan reklamasjonen havne hos selgeren som tok imot betalingen, mens varen allerede er hos svindleren. Signaler det er verdt å sette opp varsel for i ordrebehandlingen: en leveringsadresse som ikke stemmer med betalerens opplysninger, en pakkeautomat i stedet for en adresse ved dyre varer, flere bestillinger med ulike kort til samme adresse.

Google regner lignende praksis som et alvorlig brudd på retningslinjene for Merchant Center og kan reagere uten forhåndsvarsel. Den norske versjonen av retningslinjene gir blant annet disse eksemplene: “Du må ikke bruke falsk identitet, falskt bedriftsnavn eller falsk kontaktinformasjon” og “Du må ikke oppgi en falsk eller virtuell fysisk adresse som hovedkontor, mens du i virkeligheten driver virksomheten fra en ikke-oppgitt region” (Google Merchant Center). En ærlig butikk med adresse hos et virtuelt kontor bryter ikke denne regelen så lenge den ikke skjuler hvor den faktisk driver fra og sender varer fra. Det lønner seg likevel å si det rett ut på kontaktsiden.

#Slik rapporterer du en falsk butikk som utgir seg for å være din bedrift

CERT Polska tar imot meldinger om phishing-sider via skjemaet incydent.cert.pl/phishing, og mistenkelige SMS-er kan videresendes gratis til nummeret 8080 (CERT Polska). Verifiserte domener havner på advarselslisten i 6 måneder. Listen brukes av teleoperatørene som har sluttet seg til avtalen med lederen for det polske telekomtilsynet UKE, digitaliseringsministeren og NASK (opprinnelig Orange, Plus, Play og T-Mobile), og av de private DNS-leverandørene Quad9 og NextDNS. En kunde som åpner en blokkert adresse, ser en advarselsside i stedet for kopien av butikken din.

Melding til CERT er ett av tre steg. Det andre er en misbruksmelding til webhotellet og domeneregistraren, som du finner i WHOIS og i DNS-oppføringene til klonen. Legg ved skjermbilder, adressen til klonen og adressen til butikken din. Det tredje er en melding til kundene på nettstedet ditt og i sosiale medier: hvilken adresse som er den eneste ekte, og hvilket kontonummer som gjelder. Har noen allerede betalt til klonens konto, henviser du vedkommende til banken sin og til politiet, slik CERT Polska anbefaler.

#Sjekkliste: tillitstesten for en WooCommerce-butikk

Punktene en forsiktig kjøper sjekker, med de raskeste først.

Samsvarende firmaopplysninger er også en del av å følge forbrukerretten i Polen, sammen med GDPR, Omnibus, GPSR og reglene for retur. Den tekniske sikringen av en butikk er tema i veiledningen om herding av WordPress. Vil du få denne listen gjennomgått i butikken din og betalingsinnstillinger, transaksjonseposter og bunntekst rettet opp, beskriv prosjektet på siden WooCommerce-utvikler eller bestill en sikkerhetsrevisjon av WordPress.