Säker e-handel – SSL, GDPR och PSD2 utan krångel

Tre lager av säkerhet

Säkerhet i en webbshop är lätt att tänka på som en enda fråga: har vi SSL eller inte? I praktiken handlar det om tre olika områden med olika ansvar.

Den viktigaste insikten är att ansvaret för kunddatan alltid ligger hos er, oavsett plattform. Tekniken och betalningen kan ni lägga hos leverantörer, men ni behöver veta att de faktiskt sköts.

HTTPS och SSL-certifikat

Ett SSL-certifikat gör att trafiken mellan kunden och butiken krypteras, vilket syns som https i adressfältet. Det ska gälla hela butiken, inte bara kassan, eftersom inloggning, kundvagn och formulär också skickar uppgifter. På Shopify ingår certifikat i tjänsten. På WooCommerce ordnas det via hostingen, ofta med ett gratis certifikat som förnyas automatiskt.

Vanliga fel är att certifikatet går ut utan att någon märker det, eller att bilder och skript laddas via http så att webbläsaren varnar för blandat innehåll. Båda fångas av övervakning.

Uppdateringar, säkerhetskopior och behörigheter

Den vanligaste vägen in i en webbshop är inte avancerade attacker utan gamla tillägg och svaga lösenord. Skillnaden mellan plattformarna är stor här:

Oavsett plattform gäller samma regler för konton: personliga inloggningar i stället för delade, tvåstegsverifiering för alla med adminbehörighet, och att konton tas bort när någon slutar. Använd så få tillägg som möjligt, och ta bort de som inte används.

GDPR i webbshoppen

GDPR gäller all hantering av personuppgifter, alltså kundkonton, ordrar, leveransadresser och nyhetsbrevslistor. IMY är tillsynsmyndighet. I praktiken betyder det:

• Samla bara in de uppgifter ni behöver för att leverera och ta betalt.
• Beskriv i en integritetspolicy vad ni sparar, varför och hur länge.
• Ha personuppgiftsbiträdesavtal med de leverantörer som hanterar kunddata, till exempel e-postverktyg och hosting.
• Gallra gamla uppgifter och kundkonton som inte längre behövs.
• Ha en rutin för när en kund vill se eller radera sina uppgifter.

Mer om vad som gäller finns hos IMY.

Kakor och samtycke

Kakor som inte är nödvändiga för att butiken ska fungera, till exempel för statistik och annonsmätning, kräver samtycke enligt lagen om elektronisk kommunikation, och PTS är tillsynsmyndighet. Det påverkar annonseringen direkt: Meta-pixeln och Conversions API mäter köp från annonser men kräver samtycke för spårning. En korrekt samtyckesruta är därför både en lagfråga och en förutsättning för att annonsdatan ska gå att lita på.

Kontrollera att inga mätskript laddas innan besökaren har sagt ja, att det är lika lätt att neka som att godkänna och att valet går att ändra i efterhand.

PSD2 och stark kundautentisering

PSD2 kräver stark kundautentisering, så kallad SCA, vid de flesta kortbetalningar online inom EES. För kunden syns det som en verifiering med BankID eller i bankens app via 3-D Secure. För er betyder det att betallösningen måste stödja flödet, vilket de etablerade leverantörerna gör.

Låt aldrig kortuppgifter passera er egen server. Med Klarna, Stripe eller Swish hanteras uppgifterna hos betalleverantören, och butiken får bara besked om att betalningen gått igenom. Jämförelsen mellan alternativen finns i guiden om betallösningar.

Om något ändå händer

Även en välskött butik kan drabbas, till exempel av ett läckt lösenord eller ett tillägg med en säkerhetslucka. Det som avgör skadan är hur snabbt ni agerar. Ha en kort plan nedskriven innan det behövs:

1. Stäng ingången. Byt lösenord, logga ut alla sessioner och inaktivera det tillägg eller konto som misstänks.
2. Återställ butiken från den senaste säkerhetskopian som är fri från intrånget.
3. Ta reda på vad som påverkats. Gäller det kunddata, ordrar eller bara innehållet på sidorna?
4. Bedöm anmälningsplikten. En personuppgiftsincident kan behöva anmälas till IMY; kontrollera vad som gäller hos IMY.
5. Informera kunderna om deras uppgifter kan ha påverkats, kort och sakligt.
6. Dokumentera vad som hände och vad ni ändrat, så att samma sak inte händer igen.

Med ett driftavtal finns någon som redan känner butiken och kan börja direkt, i stället för att ni ska hitta hjälp mitt i ett avbrott.

Så går det till: säkerhetsgenomgång på en dag

1. Inventera konton. Vem har adminbehörighet i butiken, betallösningen, domänen och e-postverktyget?
2. Slå på tvåstegsverifiering för alla konton med behörighet att ändra något.
3. Gå igenom tillägg och appar. Ta bort det som inte används, uppdatera resten.
4. Kontrollera HTTPS på alla sidor och att certifikatet förnyas automatiskt.
5. Testa en återställning från säkerhetskopia i en testmiljö.
6. Granska samtyckesrutan och integritetspolicyn mot hur butiken faktiskt fungerar.

Vad det kostar

Den löpande säkerheten är en driftfråga. Drift Bas för 495 kr/mån exkl. moms omfattar hosting eller teknisk tillsyn, uppdateringar, säkerhetskopior och övervakning. Drift Plus för 1 450 kr/mån lägger till 2 timmar support per månad och svar samma arbetsdag. Läs mer under drift och support eller räkna på er butik i priskalkylatorn. I alla paketen ingår drift från första dagen.