Shopify 账号安全：两步验证、员工权限与登录核查

后台出问题，往往不是因为谁的密码太简单，而是两个条件同时成立：权限给宽了，而且没人回头看。账号安全要做的事可以压到三件：把能进后台的人管住，把每个人能做的事收窄，把离开的人处理干净。密码强度和两步验证只是第一件里的一部分。

先把「谁能进后台」和「进来能做什么」分成两张清单

这两件事经常被一起处理，结果是给某人开了账号，顺手把默认权限也给了，之后再没有人检查。分开看更清楚：账号清单管的是入口数量，权限清单管的是单个入口的能力上限。入口要少，能力要窄，两者不能互相替代——一个人开五个账号不会更安全，人少也不代表权限就不宽。

后台的访问来源通常有四类：你自己、员工账号、外部协作方（建站、投放、会计），以及各种应用。应用不是人，它拿到的访问范围和员工账号是两套体系：应用通过访问凭证调用接口，凭证本身只标明身份，能读到什么由商家批准的那组访问范围决定（Shopify 应用认证与访问范围说明）。这也解释了一件事——员工离职要处理的是员工账号，不是应用；应用该不该留是另一套判断（应用授权范围的审计流程）。

两步验证：先决定谁必须开

两步验证只解决一个问题：密码被别人拿到之后，能不能直接登录。它不解决权限过宽，所以别指望开了它就省掉后面的检查。

1. 先列出所有能登录后台的人，包括长期不用但账号还在的。
2. 把账号分成两组：能改支付设置、能改主题代码、能导出客户数据的，必须开；其余账号也建议开，但不是优先项。
3. 处理恢复方式。备用码、恢复手机号、恢复邮箱要单独存放，不要和登录密码放在同一个地方，也不要挂在一个已经离职的人的手机上。
4. 开启之后逐个验证是否真的生效，确认每次登录都会被要求第二重验证，而不是只在新设备上才触发。

共用一个账号是很多小团队的做法，代价往往在半年后才显现：操作记录全部指向同一个人，出了问题无法定位，有人离开也无法单独收回权限。多开一个员工账号再把权限收窄，成本远比想象中低。

权限最小化：按三个方向拆

一个能直接落地的拆法是按钱、客户数据、代码三类权限来分。给谁什么权限，看他的岗位每天实际要动的是哪一类，而不是按「他级别高所以多给点」。

表格里第三列是重点。这些操作一旦做错，代价不是页面难看，而是钱和客户数据出了问题，所以它们应该有一个明确的确认环节：谁在什么时间被批准做了什么，而不是默认每个人都有。

要注意员工权限的可细分程度和套餐有关。有的套餐只能给一组预设权限，有的可以细到单个模块，部分角色只在高阶套餐里出现。具体能拆到多细，以你当前后台的员工权限页面为准，不要照搬别人的配置。

离职与外部协作：当天要处理的事

1. 停用账号，而不只是改密码。改密码对多人共用的账号才有意义，员工账号必须停用，会话才真正结束。
2. 检查这个账号是不是某些设置上的联系人——付款通知邮箱、域名联系邮箱、订单通知接收人。停用账号不会把这些位置自动换成别人。
3. 检查应用与自定义应用是谁装的、谁在维护。有人离开后要确认这些应用的授权仍然有人负责，否则它会一直带着那组范围跑下去（卸载应用后的残留与清理顺序）。
4. 检查主题：该账号有没有发布过主题版本、有没有留下未发布的副本。
5. 检查域名、付款方式、收款账户是否被改动过。这一项最容易被跳过，代价也最高。
6. 一周后回看一次后台活动记录，确认没有遗留的自动流程还在使用旧账号。

可疑活动怎么判断

判断顺序是先看有没有不该发生的变化，而不是先翻登录记录。登录记录只能告诉你有人进来过，决定损失的是他进来之后做了什么。

• 钱的方向。收款账户与付款方式是否变动、退款记录是否异常、有没有出现过高的折扣码被大量使用。这类异常订单信号的判断顺序与处置方式，见结账滥用与欺诈信号。
• 客户数据的方向。短时间内大量导出、客户信息出现没人解释得清的修改。
• 代码的方向。主题被发布、多出没装过的应用、导航或结账相关设置被改。
• 入口的方向。非工作时间的登录通知、你没授权过的设备或地区、恢复邮箱与手机号被改。

按这个顺序走一遍之后，再回到入口本身。发现异常时第一步不是改密码，而是先停掉可疑账号，紧接着换掉关键联系邮箱与恢复方式，然后逐条核对上面四个方向。先改密码会把对方直接踢出去，但同时也会让对方知道你发现了，剩下的痕迹反而更难查。

关于客户数据的处理边界，还有一层：能看客户信息的人越多，隐私政策和实际做法越容易对不上，客户的访问与删除请求也更难响应。这部分是另一条线，和权限分配要一起看（客户数据与同意管理的落地检查点）。

每季度三十分钟能做完的核查

1. 拉出员工账号与协作者列表，标出已离职、暂时停用、外部协作三类。
2. 逐个确认权限有没有变动需求，最近做过投放或改版的人尤其要看。
3. 核对付款方式、域名、通知邮箱上的联系人是不是还在职。
4. 过一遍已安装应用与授权情况，把没人用的挑出来。
5. 确认两步验证覆盖到了所有能改钱和改代码的账号。

边界：哪些事不能想当然

员工权限的粒度受套餐限制，同一个操作在不同套餐里可能是「可选权限」也可能是「所有人都有」，所以任何清单都要以当前后台为准，别人后台里能看到的选项你不一定有。

平台侧登录保护和风控是平台自己做的事，你能配置的只有账号与权限本身，两者不能互换。恢复码丢失、恢复邮箱停用，会把自己也锁在外面，处理外部协作之前先把这两项确认好；用共享邮箱或共享手机号做第二步验证，等于没有第二步。

另外一点是前台和后台的区别。店铺页面本身就是公开的，谁都能打开，能不能被同行看到不是安全事件；后台入口只应该属于明确列在清单上的人。这两件事容易混在一起，处理方法完全不同（怎么防止同行查看你的店铺）。

两步验证之外，还有一个上游入口

后台账号的上游是邮箱。密码重置、恢复方式变更、通知设置修改，最终都会经过登录邮箱或恢复邮箱，所以那个邮箱本身也要开两步验证，而且最好不要用一个人的私人邮箱承担全店的恢复功能。域名注册商账号同理：域名被转走，店铺前台也就不用谈了，这个账号的权限比后台更少见人检查。

给外部协作方开入口，别开成长期账号

建站、投放、会计这类协作方通常不需要长期账号。按项目开一个员工账号，明确项目结束当天停用；只给主题副本的编辑权限，不给发布线上主题的权限，他改的东西由内部的人看过再发布；需要看订单或客户数据时按次处理，或者直接给导出后的报表，而不是给一个长期可读的权限。这些要求在项目开始时就写进协作说明里，比事后追着收权限容易得多。

把这套动作写成能交接的清单

团队里谁负责这件事，比清单本身更容易出问题。一个可以交接的账号清单至少包含这些字段：账号对应的人和岗位、所属权限组、两步验证是否开启、上次核查时间、以及这个账号该由谁在什么条件下停用。清单不用放进系统，一张表格就够，关键是它有两个固定动作——季度核对一次，有人离开时打开它逐条处理。

如果团队里没有人固定负责这件事，把清单和确认环节写下来比请人临时看一眼有用得多；需要把账号、权限和清理流程整理成一套能交接的规范，可以从光算这边问（咨询与流程梳理）。