Jak klient sprawdza, czy Twój sklep WooCommerce jest prawdziwy, i jak przejść ten test

Ostrożny kupujący, operator płatności i Google Merchant Center sprawdzają nowy sklep tymi samymi metodami: porównują dane firmy z rejestrami, patrzą na wiek domeny, szukają skopiowanych zdjęć i czytają opinie. Uczciwy sklep WooCommerce potrafi oblać ten test przez zwykłe zaniedbanie, na przykład stary adres w regulaminie albo prywatny rachunek w instrukcji przelewu. Ten poradnik omawia te sprawdzenia od strony właściciela sklepu, razem z tym, co poprawić u siebie, zanim zrobi to klient.

Poradnik NASK “Okazja czy pułapka?” z listopada 2025 roku podaje w części o fałszywych sklepach dane CERT Polska za 2024 rok: około 1600 przyjętych zgłoszeń i około 14 000 odnotowanych przypadków wykorzystywania wizerunku znanych platform sprzedażowych (NASK, wartości przybliżone). Kupujący, który słyszał o takich oszustwach, sprawdza każdy sklep, którego nie zna, także Twój.

#Jak klient sprawdza, czy sklep internetowy jest wiarygodny

Sprawdzanie sklepu to biały wywiad (OSINT): wnioski wyłącznie z publicznych źródeł. Rejestry firm, wykaz podatników VAT, baza WHOIS, archiwum stron, wyszukiwarka obrazów i opinie w sieci. Nic z tego nie wymaga wiedzy technicznej, dlatego te same kroki trafiają do poradników dla konsumentów. Sekurak i Securitum prowadzą 29 października 2026 roku szkolenie online “Jak się nie dać oszukać? Sprawdzamy sklepy internetowe technikami OSINT-owymi”, na którym weryfikują na żywo dwa sklepy, oczywiste oszustwo i profesjonalnie wyglądającą podróbkę (opis szkolenia).

Każda niespójność, którą znajdzie kupujący, wygląda tak samo jak sygnał oszustwa. CERT Polska w poradniku zakupowym radzi sprawdzić regulamin, dostawę, płatności i zwroty i być “wyczulonym na wszelkie niespójności pomiędzy nimi” (CERT Polska). Dla kupującego dwa różne adresy w stopce i regulaminie są sygnałem ostrzegawczym, nawet jeśli jeden z nich to zapomniana aktualizacja.

#Jakie dane firmy musi pokazywać sklep internetowy

Dwa przepisy wyznaczają minimum. Art. 20 ust. 3 ustawy Prawo przedsiębiorców mówi, że przedsiębiorca sprzedający na odległość przez sieci teleinformatyczne “umieszcza w ofercie co najmniej swoją firmę, numer identyfikacji podatkowej (NIP) oraz siedzibę albo adres” (Dz.U. 2025 poz. 1480). Art. 5 ustawy o świadczeniu usług drogą elektroniczną dokłada adresy elektroniczne, nazwę lub firmę oraz siedzibę i adres, podane “w sposób wyraźny, jednoznaczny i bezpośrednio dostępny” (Dz.U. 2024 poz. 1513). Biznes.gov.pl dopisuje do treści regulaminu organ, który zarejestrował działalność, numer wpisu, adres przedsiębiorstwa, e-mail i telefon (biznes.gov.pl).

Klient porównuje te dane w czterech miejscach: w stopce, w regulaminie, w polityce prywatności i na fakturze. Potem wpisuje NIP w wyszukiwarkę firm. Wyszukiwarka KRS pokazuje adres, formę działalności, numery identyfikacyjne, datę wpisu i historię zmian, a w CEIDG wystarczy imię i nazwisko albo NIP lub REGON (biznes.gov.pl, jak sprawdzić kontrahenta).

CERT Polska zwraca uwagę na jeszcze jeden szczegół: jeśli w KRS pod nazwą rzekomego właściciela sklepu figuruje sklep stacjonarny albo firma z innej branży niż handel, to ważny znak ostrzegawczy, bo oszust mógł podszyć się pod istniejącą firmę albo przejąć jej nieużywaną domenę (CERT Polska). Dla uczciwego sklepu oznacza to, że przedmiot działalności w rejestrze powinien obejmować handel, który faktycznie prowadzisz. Spółka zarejestrowana jako biuro projektowe, która sprzedaje kosmetyki, wzbudzi pytania u ostrożnego klienta i u operatora płatności.

Co poprawić u siebie:

• jedna wersja nazwy firmy, NIP i adresu w stopce, regulaminie, polityce prywatności, mailach transakcyjnych WooCommerce i na fakturach,
• adres zgodny z wpisem w KRS lub CEIDG, zaktualizowany w tym samym tygodniu co wpis po przeprowadzce,
• działający telefon i adres e-mail, bo CERT Polska radzi kupującym skontaktować się ze sprzedawcą i zrezygnować z zakupu, jeśli kontakt się nie udaje.

#Jak sprawdzić rachunek sklepu na białej liście VAT

Wykaz podatników VAT, nazywany białą listą, można przeszukać po numerze rachunku, NIP albo REGON (biznes.gov.pl). Kupujący, który dostał instrukcję przelewu, wkleja numer konta i widzi, czy należy do firmy z regulaminu. Ministerstwo Finansów zapowiedziało start zmodernizowanego wykazu na 15 października 2026 roku pod adresem wykazpodatnikowvat.mf.gov.pl, a 21 października ten adres już odpowiadał (KAS).

Klient B2B ma tu interes finansowy. Według KAS przy transakcjach powyżej 15 tys. zł firma płacąca na rachunek spoza wykazu nie zaliczy wydatku do kosztów uzyskania przychodów i odpowiada solidarnie ze sprzedawcą za jego zaległości w VAT. Uniknie tego, jeśli w ciągu 7 dni od zlecenia przelewu zawiadomi naczelnika urzędu skarbowego (KAS, informacje o wykazie). Księgowa hurtowego odbiorcy sprawdzi więc Twój rachunek przy pierwszym większym zamówieniu.

W WooCommerce numer konta do przelewu tradycyjnego wpisuje się w ustawieniach metody płatności przelewem bezpośrednim (w kodzie: bacs), a sklep pokazuje go na stronie potwierdzenia zamówienia i w mailu z zamówieniem (WooCommerce). Wpisz tam rachunek firmowy zgłoszony do urzędu skarbowego. Prywatne konto właściciela albo rachunek z innego banku niż ten w wykazie to pierwsza rzecz, która nie przejdzie testu.

#Jak sprawdzić wiek domeny sklepu w WHOIS

Fałszywe sklepy żyją krótko. CERT Polska opisuje strony wyłudzające jako rejestrowane w dużych ilościach, używane krótko po rejestracji i porzucane na rzecz nowych adresów (CERT Polska, Lista Ostrzeżeń). Dlatego kupujący patrzy na datę rejestracji domeny. Dla domen .pl baza WHOIS rejestru NASK (dns.pl/whois) pokazuje datę utworzenia i rejestratora. Przykład: zapytanie o cert.pl zwraca datę utworzenia 12 marca 1998 roku i rejestratora NASK. Drugie źródło to Wayback Machine, w którym widać, jak strona wyglądała w poprzednich latach.

Młoda domena nie oznacza oszustwa, ale w połączeniu z niską ceną i brakiem danych firmy staje się dla kupującego mocnym sygnałem. Co możesz zrobić:

• po zmianie marki zostaw starą domenę z przekierowaniem 301, żeby historia pod starym adresem prowadziła do nowego sklepu,
• opisz na stronie “o nas” od kiedy działasz i pod jaką wcześniejszą nazwą, zgodnie z datą wpisu w rejestrze,
• nie kupuj domeny po innej firmie bez sprawdzenia jej historii w Wayback Machine, bo stare treści albo wpisy na listach ostrzeżeń przejdą razem z adresem.

#Czy kłódka w przeglądarce oznacza, że sklep jest bezpieczny

Nie. CERT Polska odpowiada na to pytanie w poradniku jednym słowem, a potem wyjaśnia: “Oszuści opracowali już metody wykorzystania tego typu oznaczenia” (CERT Polska). NASK powtarza to w poradniku z 2025 roku: symbol kłódki przy adresie nie jest gwarancją bezpieczeństwa (NASK).

Darmowy certyfikat Let’s Encrypt wydaje się automatycznie: klient ACME “udowadnia urzędowi certyfikacji, że serwer WWW kontroluje domenę” (tłumaczenie własne, Let’s Encrypt). Nikt nie sprawdza przy tym firmy, adresu ani tego, czy sklep wysyła towar. HTTPS w sklepie WooCommerce jest obowiązkowy z innych powodów, ale ostrożnego klienta przekonują dopiero dane firmy, rachunek i historia domeny.

#Jak sprawdzić, czy zdjęcia produktów nie są skradzione

Wyszukiwanie obrazem (Google Lens, TinEye, Bing) pokazuje, gdzie jeszcze w sieci występuje dane zdjęcie. Kupujący wrzuca zdjęcie produktu i widzi, czy pochodzi z katalogu producenta, z cudzego sklepu, czy z banku zdjęć. NASK wymienia “atrakcyjne zdjęcia produktów” wśród cech fałszywych sklepów, obok produktów znanych marek i opinii klientów (NASK).

Sklep, który używa wyłącznie zdjęć od producenta, nie robi nic złego, ale niczym się też nie wyróżnia: te same pliki pokażą się w dziesiątkach innych sklepów, także fałszywych. Kilka własnych zdjęć dla każdego bestsellera (produkt na Twoim stole, opakowanie z etykietą wysyłkową, zdjęcie z magazynu) daje kupującemu dowód, że towar fizycznie istnieje. Te same własne zdjęcia pomagają w wynikach wyszukiwania obrazem, co opisuje tekst o Google Lens i optymalizacji zdjęć w WooCommerce.

#Jak sprawdzić, czy opinie o sklepie są prawdziwe

Od 1 stycznia 2023 roku obowiązują przepisy z dyrektywy Omnibus. UOKiK zapowiadał je tak: “Każdy przedsiębiorca, który zapewnia dostęp do recenzji produktów, będzie musiał podawać informacje, czy i w jaki sposób weryfikuje ich autentyczność, a także czy zamieszcza wszystkie opinie, czy tylko te pozytywne. Wprost zakazane będzie też zamieszczanie fałszywych lub zniekształconych opinii” (UOKiK). W komunikacie z lipca 2024 roku urząd dodaje, że nie wolno usuwać negatywnych opinii, jeśli ktoś rzeczywiście był niezadowolony, a za handel fałszywymi opiniami grozi kara do 10% obrotu (tłumaczenie własne, UOKiK).

Kupujący patrzy też na rozkład opinii w czasie. CERT Polska radzi ograniczyć zaufanie, gdy w historii opinii jest luka, na przykład najnowsze pochodzą z ostatnich dwóch tygodni, a poprzednie są starsze niż rok (CERT Polska). NASK ostrzega przed opiniami wyłącznie pozytywnymi albo powtarzającymi się i dodanymi w krótkim czasie.

W WooCommerce można zezwolić na opinie tylko od klientów, którzy kupili produkt, i oznaczać je etykietą zweryfikowanego właściciela (WooCommerce). Jeśli tak robisz, napisz to obok opinii jednym zdaniem: kto może wystawić opinię i czy publikujesz wszystkie. To spełnia obowiązek informacyjny i jest jednocześnie argumentem dla kupującego. Jeśli opinie zbierasz w zewnętrznym serwisie, opisz jego metodę weryfikacji tak samo.

#Jak fałszywy sklep podszywa się pod prawdziwy

Klon prawdziwego sklepu kopiuje logo, zdjęcia i opisy, a różni się domeną i rachunkiem do wpłat. NASK opisuje trzy warianty: podszywanie się pod znane sklepy z użyciem ich logotypów, fikcyjne witryny znikające po krótkim czasie i sklepy, które wysyłają towar niezgodny z opisem (NASK). CERT Polska dodaje literówki w adresie łatwe do przeoczenia i domeny przejęte po firmach, które nie prowadziły sklepu.

Uczciwego sklepu bezpośrednio dotyczy wariant, który CERT Polska nazywa legalną płatnością w fałszywym sklepie: oszust równolegle kupuje w prawdziwym sklepie na swoje dane, a ofiara nieświadomie płaci za jego zamówienie (CERT Polska). Z perspektywy Twojego WooCommerce wygląda to jak zwykłe, opłacone zamówienie. CERT Polska wskazuje kupującym, którzy płacili kartą, obciążenie zwrotne (chargeback) jako stosunkowo łatwą drogę odzyskania pieniędzy. Jeśli ofiara z niego skorzysta, reklamacja może trafić do sprzedawcy, który przyjął płatność, a towar jest już u oszusta. Sygnały, na które warto ustawić alert w obsłudze zamówień: adres dostawy niezgodny z danymi płatnika, paczkomat zamiast adresu przy drogim towarze, kilka zamówień z różnych kart na ten sam adres.

Google traktuje podobne praktyki jako rażące naruszenie zasad Merchant Center i za takie naruszenie może zawiesić konto bez wcześniejszego ostrzeżenia. Na liście przykładów jest “podawanie fałszywych danych osobowych, nazwy firmy bądź informacji kontaktowych” oraz podawanie fałszywego lub wirtualnego adresu jako siedziby, gdy firma działa w całości w nieujawnionym regionie (Google Merchant Center). Uczciwy sklep z adresem wirtualnego biura nie łamie tej zasady, dopóki nie ukrywa, skąd faktycznie działa i wysyła towar. Warto to jednak napisać wprost na stronie kontaktowej.

#Jak zgłosić fałszywy sklep podszywający się pod Twoją firmę

CERT Polska przyjmuje zgłoszenia stron wyłudzających dane przez formularz incydent.cert.pl/phishing, a podejrzane SMS-y można przekazać bezpłatnie na numer 8080 (CERT Polska). Zweryfikowane domeny trafiają na Listę Ostrzeżeń na 6 miesięcy. Z listy korzystają operatorzy telekomunikacyjni, którzy przystąpili do porozumienia z Prezesem UKE, Ministrem Cyfryzacji i NASK (pierwotnie Orange, Plus, Play i T-Mobile), a także prywatni dostawcy DNS Quad9 i NextDNS. Klient wchodzący na zablokowany adres zobaczy planszę ostrzegawczą zamiast podróbki Twojego sklepu.

Zgłoszenie do CERT to jeden z trzech kroków. Drugi to zgłoszenie nadużycia do firmy hostingowej i rejestratora domeny, których dane znajdziesz w WHOIS i w rekordach DNS klona. Dołącz zrzuty ekranu, adres klona i adres Twojego sklepu. Trzeci to komunikat dla klientów na Twojej stronie i w mediach społecznościowych: jaki jest Twój jedyny adres i jaki numer rachunku. Jeśli ktoś już zapłacił na rachunek klona, odeślij go do swojego banku i na policję, bo tak radzi CERT Polska.

#Lista kontrolna: test wiarygodności sklepu WooCommerce

Punkty, które sprawdza ostrożny kupujący, w kolejności od najszybszego.

Spójność danych firmy to też element zgodności z prawem konsumenckim. Pełna lista wymagań dla polskiego sklepu (RODO, Omnibus, GPSR, zwroty) jest w checkliście zgodności WooCommerce. Technicznym zabezpieczeniom sklepu poświęcony jest poradnik hardeningu WordPressa. Przejście tej listy w Twoim sklepie i poprawki ustawień płatności, maili transakcyjnych i stopki można zlecić przez stronę programista WooCommerce albo zamawiając audyt bezpieczeństwa WordPress.