Jak sprawdzić, kto ma dostęp do strony firmowej i sklepu przez klucze API

Strona firmowa ma więcej drzwi niż formularz logowania. Panel zarządzania, z którego agencja aktualizuje wtyczki, aplikacja sklepu z dostępem do zamówień, token Cloudflare w skrypcie czyszczącym cache, klucz wdrożeniowy na serwerze: każde z nich otwiera stronę bez hasła administratora. W październiku 2026 dwa incydenty pokazały, co się dzieje, gdy taki klucz trafi w złe ręce. Ten poradnik pomoże ci spisać wszystkie dostępy, cofnąć zbędne i wymienić resztę, niezależnie od tego, czy masz WordPressa, WooCommerce, Shopify, czy stronę na własnym kodzie.

#Co się stało z UpdraftCentral w październiku 2026

W komunikacie TeamUpdraft firma podaje, że w weekend 17 i 18 października wykryła nieuprawniony dostęp do serwisu teamupdraft.com i uważa, że baza klientów została odczytana. Były w niej imiona i nazwiska, adresy e-mail, zahaszowane hasła, ustawienia dwuskładnikowego logowania oraz klucze połączeń UpdraftCentral, UpdraftVault i UpdraftClone. Danych kart firma nie przechowuje. Napastnik wykorzystał połączenie ze stronami klientów do zakładania kont administratorów i instalowania złośliwych wtyczek, a w kolejnej aktualizacji TeamUpdraft ostrzegł przed nieoczekiwanymi kontami z rolą redaktora. UpdraftPlus 1.26.13 (darmowy) i 2.26.13 (Premium), wydane 19 października, rozłączają każde połączenie UpdraftCentral utworzone przed 18 października, godz. 13:07 czasu brytyjskiego.

Analiza Patchstack wyjaśnia, dlaczego zwykłe zabezpieczenia nie zadziałały. Polecenia były podpisane prawdziwymi kluczami panelu, więc wtyczka uznawała je za poprawne. Podłączona strona wykonuje każde podpisane polecenie z uprawnieniami użytkownika, który utworzył połączenie, i nikt nie zatwierdza poleceń pojedynczo. Wielu właścicieli w ogóle tego nie wybrało: przy łączeniu konta TeamUpdraft.com pole dodające stronę do UpdraftCentral było domyślnie zaznaczone. Klucze nie wygasały, Patchstack widział klucze z listopada 2025 działające w październiku 2026. Konta tylnych drzwi wyglądały jak redaktorzy, ale miały uprawnienia manage_options i install_plugins, więc przegląd listy administratorów ich nie pokazywał.

Kilka dni wcześniej Rank Math poinformował, że wersja PRO 3.0.123 pobrana między 15 października, 20:02 UTC, a 16 października, 07:12 UTC, zawierała złośliwy kod. Czysta wersja to 3.0.124, a darmowa wtyczka z WordPress.org nie była dotknięta. Kto aktywował zainfekowaną wersję, ma założyć, że wszystkie sekrety na stronie wyciekły, i wymienić: hasła WordPressa, dane dostępowe do bazy, klucze i sole w wp-config.php, klucze bramek płatności, dane SMTP, pozostałe klucze API, dostępy do hostingu, FTP i SSH, a także sprawdzić dwuskładnikowe logowanie administratorów. Szerszy obraz takich ataków opisuję w tekście o atakach na łańcuch dostaw w WordPressie w 2026 roku.

#Jak sprawdzić, kto ma dostęp do strony firmowej

Klucze działają w dwie strony. Twoja strona przechowuje klucze do cudzych systemów (płatności, poczta, kopie zapasowe), a cudze systemy przechowują klucze do twojej strony (panele zarządzania, aplikacje, wdrożenia). Lista z Rank Math dotyczy pierwszego kierunku, incydent UpdraftCentral drugiego.

Spis zbierasz z trzech miejsc: z samej strony (użytkownicy, wtyczki lub aplikacje, ustawienia), z kont firmy (faktury, menedżer haseł, skrzynka, na którą przychodzą potwierdzenia rejestracji) i z infrastruktury (DNS, CDN, panel hostingu, repozytorium kodu). Przy każdej pozycji zapisz: usługę, co może zrobić, kto utworzył klucz, gdzie leży klucz po obu stronach, kiedy był ostatnio użyty i kto w firmie za niego odpowiada. Pozycja bez właściciela to pierwszy kandydat do usunięcia.

#Panele zarządzania wieloma stronami

UpdraftCentral, ManageWP, MainWP i Jetpack łączą się ze stroną przez komponent zainstalowany w WordPressie: UpdraftPlus zawiera klienta UpdraftCentral, ManageWP używa wtyczki ManageWP Worker, a MainWP wtyczki MainWP Child. Druga połowa danych dostępowych leży na serwerach dostawcy albo na serwerze agencji. Przejrzyj listę wtyczek razem z zakładką wtyczek obowiązkowych (must-use) i zapytaj agencję, z jakich paneli korzysta. Wniosek Patchstack dotyczy każdego produktu tego typu: usunięcie strony z panelu nie wystarcza, bo klucz, który się liczy, jest zapisany na stronie.

#Aplikacje sklepu i integracje z dostępem do API

W Shopify otwórz ustawienia, sekcję aplikacji, i kliknij każdą z nich. Według dokumentacji Shopify strona aplikacji pokazuje obszary sklepu, które może odczytywać lub zmieniać, z datą ostatniej aktywności w każdym obszarze. Uprawnienia nieużywane od 30 dni trafiają do osobnej podsekcji nieużywanego dostępu. Uprawnienie read_all_orders rozszerza dostęp poza domyślne okno zamówień z ostatnich 60 dni (zakresy dostępu), więc zapytaj dostawcę, po co mu ono. Zanim odinstalujesz aplikację, wyeksportuj potrzebne dane, bo Shopify ostrzega, że części z nich nie da się potem odzyskać.

W WooCommerce klucze znajdziesz w ustawieniach WooCommerce, w zakładce zaawansowanej, sekcja REST API. Każdy klucz jest przypisany do użytkownika WordPressa i ma uprawnienia do odczytu, zapisu albo obu, a sekret klienta wyświetla się tylko raz (dokumentacja WooCommerce). Sprawdź, do kogo należy każdy klucz i czy ta osoba nadal z tobą pracuje. To samo dotyczy kluczy do Przelewy24, PayU czy hurtowni, wpisanych w ustawieniach wtyczek.

#Hasła aplikacji i konta techniczne w WordPressie

Hasła aplikacji pozwalają narzędziu logować się do REST API przez Basic Auth. Tworzysz je i cofasz na ekranie edycji użytkownika. Rdzeń WordPressa nie ogranicza ich zakresu: przewodnik integracji wymienia zawężanie uprawnień jako plan na przyszłość, więc hasło aplikacji może wszystko, co jego użytkownik. WordPress zapisuje ostatnie użycie (z dokładnością do doby) i ostatni adres IP. Z WP-CLI:

wp user list --role=administrator
wp user list --role=editor
wp user application-password list 1 --fields=name,created,last_used,last_ip

Lista redaktorów jest tu ważna, bo konta tylnych drzwi w sprawie UpdraftCentral miały właśnie tę rolę.

#Tokeny CDN i DNS

Token z prawem edycji DNS wystarczy, żeby przekierować domenę albo rekordy poczty. W Cloudflare token API ograniczasz do wybranych uprawnień i stref, a dodatkowo do adresów IP i czasu ważności (tworzenie tokenu). Starszy Global API key ma dostęp do wszystkich zasobów użytkownika z jego pełnymi uprawnieniami i Cloudflare odradza go w nowych wdrożeniach (Global API key). Jeśli wtyczka, skrypt CI albo czyszczenie cache wciąż go używa, zastąp go tokenem dla jednej strefy.

#Klucze wdrożeniowe w GitHubie

Klucz wdrożeniowy (deploy key) w GitHubie to klucz SSH z dostępem do jednego repozytorium. Domyślnie tylko do odczytu, a z prawem zapisu może tyle, co członek organizacji z uprawnieniami administratora. Według dokumentacji GitHuba takie klucze nie mają daty wygaśnięcia, zwykle nie mają hasła i pozostają aktywne po usunięciu z repozytorium osoby, która je dodała. Przegląd zrobisz w ustawieniach repozytorium, w sekcji kluczy wdrożeniowych: nieznane usuń, prawidłowe zatwierdź.

#Klucze płatności, poczty i kopii zapasowych

Stripe pozwala tworzyć klucze ograniczone z uprawnieniami, które sam wybierasz, a przy wymianie klucza w panelu decydujesz, kiedy wygaśnie stary: od razu albo po czasie, który daje integracji okno na przełączenie (klucze API Stripe). Hasło SMTP albo klucz API dostawcy poczty transakcyjnej leży we wtyczce albo w wp-config.php; gdzie dokładnie, pokazuję w przewodniku po SMTP, SPF i DKIM.

Kopia zapasowa zawiera pełną bazę z danymi klientów i wszystkimi kluczami zapisanymi w ustawieniach. TeamUpdraft odłączył wszystkie strony od UpdraftVault i wydał nowe dane dostępowe, a stronom, do których wszedł napastnik, zalecił ponowną autoryzację magazynów (Google Drive, Dropbox, Amazon S3) i zmianę kluczy dostępu do nich. Sprawdź, kto może czytać twój magazyn kopii i czy narzędzie do kopii ma prawo kasować stare wersje.

#Klucze systemów fakturowania i ERP

Aktualizacja, 24 października 2026. Wtyczka WooCommerce lub aplikacja Shopify, która wystawia faktury w zewnętrznym systemie, przechowuje jego klucz API. Fakturownia podała w komunikacie o incydencie, że od 27 września 2026 (ok. 3:20) do 28 września 2026 (ok. 17:45) osoba nieuprawniona miała dostęp do jej systemów i skopiowała dużą część bazy danych, w tym tokeny API i klucze integracji zapisane w ustawieniach kont. Incydent dotyczy każdego konta. W nocy z 28 na 29 września firma wymieniła tokeny API klientów, a dotychczasowe klucze działają od tej pory tylko z adresów IP, z których wcześniej korzystali użytkownicy konta. Integracje skonfigurowane w zakładce “Integracje i dodatki” nie były objęte incydentem. Dla pozostałych Fakturownia zaleca wygenerować nowe klucze i wpisać je w integracjach, a przy integracjach zewnętrznych dostawców najpierw ustalić z dostawcą, kiedy można to zrobić.

Dla danych kontrahentów wpisanych do konta administratorem jest firma korzystająca z Fakturowni, a Fakturownia jest podmiotem przetwarzającym. RODO dzieli obowiązki tak:

• podmiot przetwarzający bez zbędnej zwłoki po stwierdzeniu naruszenia zgłasza je administratorowi (art. 33 ust. 2); Fakturownia wskazuje, że takim zgłoszeniem jest jej e-mail do właścicieli kont wysyłany od 1 października 2026,
• administrator bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, zgłasza je organowi nadzorczemu, w Polsce Prezesowi UODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych; do zgłoszenia po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1),
• gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osoby, których dane dotyczą (art. 34 ust. 1),
• administrator dokumentuje każde naruszenie, także niezgłoszone (art. 33 ust. 5).

Prezes UODO przypomniał 5 października 2026, w związku z incydentami dotyczącymi systemów fakturowych, że o zgłoszeniu decyduje ocena ryzyka przeprowadzona przez administratora. Ujawnienie samych danych z jawnego rejestru CEIDG (imię i nazwisko, nazwa firmy, NIP, adres działalności) zazwyczaj nie rodzi obowiązku zgłoszenia, a ujawnienie np. numeru PESEL lub informacji finansowych może go rodzić.

Przy audycie wymień klucz systemu fakturowania po każdym komunikacie dostawcy o incydencie i sprawdź, czy da się go ograniczyć do adresu IP serwera sklepu. Fakturownia zastosowała takie ograniczenie do starych kluczy po incydencie.

#Lista kontrolna dostępów do strony i sklepu

#Jak cofnąć klucz API, żeby strona dalej działała

Na zdrowej stronie kolejność jest taka: ustal, co używa klucza (opis, ostatnie użycie, logi narzędzia), utwórz następcę z węższymi uprawnieniami, wpisz go w narzędziu i sprawdź, że działa, a dopiero potem cofnij stary klucz. Przez kilka dni obserwuj nieudane zamówienia, brakujące maile i zepsute wdrożenia. Okno wygaśnięcia w Stripe powstało właśnie po to.

Na stronie po włamaniu kolejność się odwraca: najpierw cofasz, a integracje, które przestaną działać, podłączasz od nowa. Tak wyglądają instrukcje TeamUpdraft dla użytkowników UpdraftCentral: logujesz się do każdej strony bezpośrednio, aktualizujesz, usuwasz klucz połączenia, kasujesz nieznane konta i wtyczki, zmieniasz hasła administratorów i dopiero wtedy łączysz ponownie. Jeśli klucz ma dwa końce, cofnij go na obu. Klucz skasowany tylko w panelu dostawcy strona może nadal akceptować, a klucz skasowany tylko na stronie może dalej leżeć w bazie dostawcy.

#Kiedy wymieniać klucze API

Wymieniaj po zdarzeniach, bo sam kalendarz nikogo nie uratował w październiku 2026. Do procedury warto wpisać:

• incydent bezpieczeństwa u dostawcy, który ma klucz do twojej strony albo dostaje od niej klucz,
• złośliwy kod uruchomiony na stronie, czyli wszystko z listy Rank Math powyżej,
• odejście pracownika, freelancera albo agencji z dostępem,
• klucz znaleziony tam, gdzie nie powinien być: w repozytorium, zgłoszeniu, wątku mailowym, na zrzucie ekranu,
• zastąpienie integracji innym narzędziem.

Do tego raz w roku stały przegląd, na którym usuwasz każdy klucz, którego nikt nie umie wyjaśnić. Klucze bez daty wygaśnięcia, jak klucze wdrożeniowe GitHuba albo klucze UpdraftCentral badane przez Patchstack, działają, dopóki ktoś ich nie usunie.

#Co zablokować, gdy odchodzi pracownik albo agencja

Tę listę przechodzisz w dniu, w którym kończy się dostęp, a nie przy najbliższym przeglądzie:

1. WordPress. Usuń hasła aplikacji tej osoby, zakończ jej zalogowane sesje, a potem skasuj konto i przepisz jej wpisy na innego użytkownika (polecenia WP-CLI):

wp user application-password delete 123 --all
wp user session destroy 123 --all
wp user delete 123 --reassign=2

2. WooCommerce. Cofnij każdy klucz REST API przypisany do tego użytkownika. Klucze, których integracja dalej potrzebuje, utwórz od nowa na osobnym koncie technicznym.
3. Shopify. Usuń konto pracownika albo współpracownika (collaborator) i przejrzyj aplikacje, które zainstalował. Do budowania aplikacji własnych potrzebne jest uprawnienie App development, Develop, a konta współpracowników nie mają dostępu do Dev Dashboard, więc sprawdź, kto miał to uprawnienie i jakie aplikacje założył.
4. Cloudflare. Usuń tokeny, które ta osoba utworzyła, albo wygeneruj nowy sekret (roll) dla tych, których integracja nadal używa. Potem przejrzyj stronę Audit Logs za okres jej dostępu. Cloudflare trzyma te wpisy przez 18 miesięcy (dziennik zmian).
5. GitHub. Usuń osobę z repozytorium lub organizacji, skasuj klucze wdrożeniowe na serwerach, które konfigurowała, i cofnij jej tokeny fine-grained w ustawieniach organizacji. GitHub wysyła wtedy mail do twórcy tokenu, a klucze SSH utworzone przez cofnięty token działają dalej, więc usuń je osobno.
6. Stripe. Wymień każdy klucz tajny i ograniczony, który ta osoba mogła widzieć. Stripe wprost podaje odejście członka zespołu albo zmianę jego roli jako powód rotacji.
7. Panele zdalne i kopie zapasowe. Usuń klucz połączenia na każdej stronie, tak jak przy UpdraftCentral, i ponownie autoryzuj zdalny magazyn kopii.

#Jak wymienić klucz API w Stripe, Cloudflare, Shopify i GitHubie

Ogólna kolejność z sekcji o cofaniu kluczy obowiązuje wszędzie, ale każda platforma ma własne przełączniki. Poniżej kroki z dokumentacji dostawców według stanu z października 2026.

#Stripe

Na stronie kluczy API otwórz menu przy kluczu i wybierz podgląd logów żądań. Otworzy się Workbench z listą systemów, które nadal wołają Stripe tym kluczem. Potem wybierz rotację i ustaw termin wygaśnięcia starego klucza. Według dokumentacji Stripe po rotacji w panelu stary i nowy klucz mogą działać równolegle do 7 dni. Jeśli potrzebujesz dłużej, utwórz nowy klucz ręcznie, a stary wygaś po przełączeniu. Stripe radzi wygaszać stary klucz dopiero wtedy, gdy przez kilka godzin albo dni nie ma na nim żadnych żądań.

Każdemu kluczowi produkcyjnemu przypisz zasadę dostępu (access policy). Ogranicza ona klucz do adresów IPv4 lub zakresów CIDR, a przy serwerach skalowanych dynamicznie do numeru ASN i kraju. Może też blokować anonimowe VPN-y, publiczne proxy i węzły wyjściowe Tor. Żądanie łamiące zasadę Stripe blokuje i wysyła ci powiadomienie. Do większości integracji Stripe zaleca klucze ograniczone (rk_), a pełnych kluczy tajnych nie poleca już do nowych wdrożeń. Sekrety podpisu webhooków są osobne i nie zmieniają się przy rotacji klucza API.

#Cloudflare

Tworząc nowy token, wypełnij dwa opcjonalne pola, które większość właścicieli pomija. Filtrowanie adresów IP klienta: bez reguły token działa z każdego adresu, reguła Is in ogranicza go do wskazanych adresów lub zakresów CIDR, a Is not in wyłącza z zakresu konkretne adresy. TTL: data początku (notBefore) i końca (notAfter). Token bez daty końca nigdy nie wygasa, a daty liczą się od 00:00 UTC wybranego dnia (ograniczanie tokenów). Token do czyszczenia cache, przypięty do stałego IP serwera i z datą końca w dniu następnego przeglądu, to rozsądne ustawienie domyślne.

#Shopify

Od 1 stycznia 2026 aplikacje własne Shopify tworzy się i zarządza nimi w Dev Dashboard, a te założone w panelu sklepu przed tą datą nadal obsługuje się w panelu jako aplikacje starszego typu (aplikacje własne). Od tego zależy sposób wymiany. Według instrukcji Shopify aplikacja z Dev Dashboard dostaje nowy sekret w Settings, Credentials, Rotate, a stary działa, dopóki go nie cofniesz. Webhooki Shopify podpisuje najstarszym niecofniętym sekretem, więc w czasie przełączania aplikacja musi akceptować oba podpisy. Tokeny z client credentials żyją 24 godziny. Stary sekret cofasz dopiero po wymianie wszystkich zapisanych tokenów, bo tokeny do niego przypięte w tej chwili przestają działać. Aplikacji starszego typu z panelu nie da się w ten sposób przekręcić: żeby zmienić jej dane dostępowe, trzeba ją odinstalować i zainstalować ponownie. Jeśli sekret jest właśnie nadużywany, Shopify każe najpierw go cofnąć i pogodzić się z przerwą w działaniu aplikacji.

#GitHub

Token fine-grained sięga zasobów jednego użytkownika albo jednej organizacji i można go zawęzić do wybranych repozytoriów. Termin ważności ustawiasz od 1 do 366 dni albo bez terminu, domyślnie to 30 dni, a zasady organizacji mogą zabronić tokenów bezterminowych. Tokeny nieużywane przez rok GitHub usuwa sam (zarządzanie tokenami). Usunięcie tokenu, którym utworzono klucz wdrożeniowy, kasuje też ten klucz, więc przed sprzątaniem tokenów sprawdź listę kluczy wdrożeniowych w repozytorium. Właściciele organizacji widzą i cofają tylko tokeny fine-grained. Token klasyczny, jeśli organizacja ich nie ograniczyła, ma dostęp do jej zasobów aż do wygaśnięcia (przegląd tokenów w organizacji).

#WooCommerce

Klucza REST API w WooCommerce nie da się przekręcić. Utwórz nowy z opisem, który nazywa integrację, przypisz go do osobnego użytkownika, wybierz najwęższe uprawnienie (do raportów i eksportu do księgowości wystarczy Read), skopiuj consumer secret, bo pokazuje się tylko raz, zaktualizuj integrację i dopiero wtedy cofnij stary klucz.

#Gdzie sprawdzić, kto i kiedy użył klucza

• WordPress: ostatnie użycie hasła aplikacji (z dokładnością do doby) i ostatni adres IP. Rdzeń nie ma do tego alertów.
• Stripe: logi żądań każdego klucza w Workbench oraz powiadomienie, gdy zasada dostępu zablokuje żądanie. To jedyne miejsce z tej listy, które samo cię ostrzeże, więc od niego zacznij.
• Cloudflare: Audit Logs ze zmianami na koncie i w strefach, przechowywane 18 miesięcy.
• GitHub: właściciel organizacji widzi tokeny fine-grained z dostępem do niej, a twórca tokenu dostaje mail, gdy właściciel go cofnie.
• Shopify: na stronie aplikacji ostatnie użycie każdego uprawnienia i uprawnienia nieużywane od 30 dni.

Te pięć ekranów przeglądasz przy corocznym przeglądzie i po każdym zdarzeniu z listy wyżej.

#Czego wymagać od agencji i dostawców oprogramowania

Agencja, która utrzymuje stronę, tworzy klucze w twoim imieniu. Od 3 kwietnia 2026 obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), której definicja dostawcy usług zarządzanych obejmuje wsparcie i aktywną administrację, także zdalną. Czy twoja agencja podlega ustawie, zależy od progów i sektora, co rozpisuję w tekście o KSC 2026 i agencjach WordPress. Niezależnie od wyniku te punkty warto mieć w umowie:

• rejestr wszystkich kluczy, tokenów i kont, które agencja tworzy, z celem i właścicielem, przekazywany na żądanie i na koniec współpracy,
• klucze zakładane na twoich kontach tam, gdzie platforma na to pozwala, na przykład token Cloudflare na twoim koncie, ograniczony do twojej strefy, żeby cofnięcie nie zależało od agencji,
• osobny klucz dla każdej strony i każdego narzędzia oraz imienne konta zamiast wspólnego loginu agencji,
• cofnięcie wszystkich dostępów w ustalonej liczbie dni po zakończeniu umowy, potwierdzone na piśmie,
• termin zgłoszenia incydentu. Agencja z dostępem do danych klientów jest zwykle podmiotem przetwarzającym w rozumieniu RODO, więc potrzebujesz umowy powierzenia z art. 28. Według art. 33 RODO podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki, a ty masz 72 godziny, jeśli to wykonalne, na zgłoszenie do UODO. Wpisz w umowę konkretną liczbę godzin.

Zanim zainstalujesz wtyczkę lub aplikację z funkcjami zdalnymi, zapytaj dostawcę, czy połączenie zdalne jest domyślnie włączone i czy jego klucze wygasają. W przypadku UpdraftCentral Patchstack ustalił, że pole zgody było zaznaczone z góry, a klucze nie miały terminu ważności.

Taki przegląd robię w ramach audytu bezpieczeństwa WordPress, a rejestr kluczy aktualizuję przy utrzymaniu stron opartych o WordPress. W sklepach WooCommerce to część planu niezawodności sklepu, a w sklepach Shopify uprawnienia aplikacji przeglądam przy pracach programisty Shopify. O tym, jak aktualizacje wtyczek trafiają na stronę i gdzie może się wśliznąć podmieniona wersja, piszę w tekstach o opóźnieniu aktualizacji w WordPress.org i o czterech backdoorach w miesiąc.