Una botiga online amb molts productes té una superfície d’atac molt més gran que un web corporatiu senzill: més URLs, més transaccions, més dades de clients i més plugins actius. Si gestiones un catàleg ampli a WordPress, la protecció no pot ser quelcom que «ja arreglaré més endavant». El que trobaràs a continuació és el mapa concret del que necessites cobrir, sense dreceres.
Per què una botiga amb molts productes necessita més protecció que un web normal
Una botiga amb centenars o milers de productes processa comandes constantment, emmagatzema dades personals i de pagament, i acostuma a tenir actius entre 30 i 60 plugins entre WooCommerce, passarel·les, sistemes de filtratge, estocs i màrqueting. Cada plugin és una porta potencial. Com més portes hi ha, més probabilitat que una quedi mal tancada en algun moment.
A això cal afegir-hi l’impacte econòmic d’una caiguda: una botiga que no respon durant unes hores perd vendes directes, fa malbé el seu posicionament a Google i pot perdre la confiança de clients que simplement no tornen. No és el mateix que caigui un blog.
La clau que molts passen per alt: la majoria dels hackeos en botigues WooCommerce no són atacs dirigits. Són bots que rastegen la xarxa buscant versions antigues de plugins amb vulnerabilitats conegudes. Tenir el catàleg actualitzat és la primera línia de defensa real, abans que qualsevol altre plugin de seguretat.
Les 6 capes de protecció que no poden faltar
Protegir una botiga online a WordPress no és instal·lar un plugin i ja està. Hi ha sis àrees que han d’estar cobertes de forma simultània; si una falla, la resta se’n ressent.
1. Actualitzacions gestionades
WordPress core, WooCommerce i cada plugin s’han d’actualitzar tan aviat com hi hagi un pegat de seguretat disponible, sempre en entorn de staging abans de producció si el catàleg és gran.
2. Còpies de seguretat diàries
Una botiga activa canvia cada dia: noves comandes, nous clients, canvis d’estoc. La còpia de seguretat ha de ser diària i emmagatzemar-se fora del servidor (no només a l’allotjament).
3. Tallafoc d’aplicació web
Un WAF (Web Application Firewall) filtra el trànsit maliciós abans que arribi a WordPress. Eines com Wordfence o Cloudflare ofereixen aquesta capa amb regles específiques per a WooCommerce.
4. SSL i passarel·la de pagament segura
El certificat SSL és obligatori per llei si processes dades de pagament. A més, la passarel·la ha de ser compatible amb PCI-DSS: Stripe, PayPal o Redsys deleguen el processament de targetes als seus servidors certificats, cosa que elimina aquesta responsabilitat del teu WordPress.
5. Compliment del RGPD
Una botiga recull nom, adreça, correu electrònic i dades de compra. El RGPD exigeix textos legals actualitzats, gestió de consentiments i política de cookies. No és opcional: les sancions poden ser molt elevades.
6. Monitorització contínua
La protecció no és un estat, és un procés. La botiga necessita supervisió del temps d’activitat, alertes davant de canvis sospitosos en fitxers i revisió periòdica dels registres d’accés.
Què passa amb els plugins quan tens un catàleg gran
Amb un catàleg ampli és habitual acumular plugins de filtratge per atributs, comparadors de productes, importadors massius de CSV, gestors de variacions i sincronitzadors amb ERP. Cada un d’aquests plugins és codi que s’executa al teu servidor i que algú ha de mantenir actualitzat. Quan l’autor abandona el desenvolupament, el plugin queda sense pegats de seguretat tot i que continuï funcionant aparentment bé.
Una auditoria periòdica de l’inventari de plugins forma part de la protecció, no és un extra. La pregunta que cal fer-se amb cada plugin instal·lat és doble: ¿continua rebent actualitzacions? ¿És realment necessari, o es va instal·lar per a alguna cosa que ja no s’utilitza?
Un plugin abandonat sense actualitzacions de seguretat és una vulnerabilitat coneguda públicament: els atacants la busquen activament perquè saben que moltes botigues el tenen instal·lat i sense pegar.
Si vols aprofundir en aquest punt concret, a l’article sobre per què actualitzar WordPress, plugins i temes trobaràs el raonament complet darrere de cada actualització i com fer-les sense trencar res.
Còpies de seguretat en botigues WooCommerce: què diferencia una bona còpia d’una d’inútil
Una còpia de seguretat que només s’emmagatzema al mateix servidor que protegeix no serveix de res si aquest servidor es veu compromès o cau. Per a una botiga activa, la còpia útil compleix quatre condicions concretes: és diària, inclou la base de dades completa (on hi ha les comandes), s’emmagatzema en un destí extern (Google Drive, S3, Dropbox) i s’ha provat la restauració almenys una vegada.
| Característica | Còpia mínima acceptable | Còpia insuficient |
|---|---|---|
| Freqüència | Diària (o per comanda en volum alt) | Setmanal o mensual |
| Destí | Extern al servidor (núvol) | Només a l’allotjament |
| Contingut | Fitxers + base de dades completa | Només fitxers o només BD |
| Prova de restauració | Verificada periòdicament | Mai provada |
| Retenció | Mínim 30 dies d’historial | Sobreescriu l’anterior |
L’article sobre per què la còpia de seguretat de l’allotjament no és suficient explica en detall els casos reals on aquesta «còpia automàtica de l’allotjament» falla en el moment crític.
Què fer si detectes activitat sospitosa a la teva botiga
Si el panell d’administració va lent sense cap raó aparent, apareixen productes o usuaris que no has creat tu, o els clients et reporten redireccions estranyes en el moment de pagar, actua de seguida: aquests són símptomes d’un compromís actiu, no d’un problema tècnic menor. El temps entre la detecció i la resposta determina quant de mal es produeix.
- Activa el mode manteniment perquè els clients no vegin la botiga compromesa.
- Canvia immediatament totes les contrasenyes: WordPress, FTP, base de dades i allotjament.
- Revisa els fitxers modificats recentment al servidor (especialment a wp-content).
- Restaura des de l’última còpia de seguretat neta coneguda.
- Investiga el vector d’entrada abans de tornar a posar la botiga en línia: si no tanques la bretxa, l’atac es repetirà.
Si no tens clar per on començar o el temps d’inactivitat és crític per al teu negoci, el servei d’assistència d’urgències WordPress permet tenir un tècnic revisant el cas en menys de dues hores. Quan cada hora sense vendre fa mal, no és moment de buscar tutorials.
Preguntes freqüents sobre protecció de botigues WordPress
Necessito un plugin de seguretat específic per a WooCommerce o n’hi ha prou amb un de genèric de WordPress?
Els plugins de seguretat genèrics de WordPress (Wordfence, Sucuri) cobreixen bé els vectors habituals: força bruta, escaneig de programari maliciós i tallafoc. WooCommerce no afegeix vulnerabilitats pròpies tan diferents com per necessitar un plugin exclusiu, però sí que convé verificar que el plugin escollit inclogui regles actualitzades per a WooCommerce i que protegeixi l’endpoint de checkout.
Cada quant temps haig de fer una auditoria de seguretat de la meva botiga?
Per a una botiga amb trànsit i vendes regulars, una revisió trimestral és el mínim raonable. Si afegeixes plugins nous amb freqüència o reps moltes comandes al mes, convé fer-la mensualment. Una auditoria no és només instal·lar un escàner: inclou revisar usuaris administradors, permisos de fitxers, plugins desactualitzats i registres d’accés.
L’allotjament ja em protegeix o he de fer alguna cosa més?
L’allotjament protegeix la infraestructura (el servidor físic, la xarxa), però no la capa d’aplicació. WordPress, WooCommerce i els teus plugins són responsabilitat teva. Un bon allotjament gestiona tallafocs de xarxa i actualitzacions del sistema operatiu, però si un dels teus plugins té una vulnerabilitat, l’allotjament no la pega per tu.
Què passa si no compleixo el RGPD a la meva botiga online?
L’Agència Espanyola de Protecció de Dades pot imposar sancions que van des d’advertiments fins a multes de milers d’euros, depenent de la gravetat i el volum de dades afectades. Per a una botiga online, els punts crítics són la política de privacitat, el consentiment en formularis, la gestió de cookies i els textos informatius en el procés de compra.
Puc gestionar jo sol la protecció de la meva botiga o necessito un servei extern?
Depèn del temps i el coneixement tècnic disponibles. Les actualitzacions, les còpies de seguretat i la monitorització bàsica es poden automatitzar, però la revisió de registres, la resposta davant d’incidents i les auditories periòdiques requereixen criteri tècnic. Molts propietaris de botigues mitjanes o grans opten per un manteniment específic per a WooCommerce per no haver-se’n de preocupar ells mateixos.
La teva botiga té tot això cobert?
Si tens dubtes sobre alguna de les capes de protecció o vols que revisem l’estat real de la teva botiga, explica’ns en quin punt estàs i et direm què necessita atenció primer.
