Bezpečnost a soukromí

TellMyShop ve vašem obchodě uloží jen to, co schválíte, a každou změnu lze vrátit zpět. Chat se k obchodu přihlašuje přes OAuth 2.1, data zákazníků jsou pro AI nedostupná a v historii změn šifrovaná a kód prošel bezpečnostní kontrolou podle OWASP ASVS 5.0, OWASP Top 10 pro aplikace LLM, OAuth 2.1 s RFC 9700 a CWE Top 25. Tato stránka jednoduše vysvětluje, jak to funguje. Část na konci je pro vašeho správce IT nebo programátora.

Ve zkratce

• Náhled a váš souhlas u každé změny. Chat ukáže před → po a uloží až po vašem „ano“.
• Každou změnu lze vrátit zpět: jednou větou v chatu nebo z historie změn. Před první změnou každého dne vznikne záloha celé databáze.
• Přihlášení chatu přes OAuth 2.1. Chat se připojí až po vašem kliknutí na „Povolit“ v okně obchodu. Žádná hesla ani klíče ke kopírování.
• Data zákazníků jsou pro AI nedostupná a šifrovaná v historii změn a v zálohách souborů.
• Trvalé blokace: hesla, klíče API, platby, daně, stavy objednávek a účty jsou na každé úrovni mimo dosah chatu.
• Bez prostředníka: chat se připojuje přímo k modulu ve vašem obchodě.
• Bezpečnostní kontrola podle čtyř standardů, s automatickými testy a testy v obchodě PrestaShop (podrobnosti).

Bez vašeho ano se nic nezmění

Každá změna má tři kroky:

1. Náhled. Chat ukáže, co chce změnit: starý a nový text, starou a novou cenu, upozornění.
2. Souhlas. Chat čeká. Uloží až ve chvíli, kdy odpovíte „ano“.
3. Uložení. Změna se uloží stejně, jako když zaměstnanec v administraci klikne na Uložit.

Náhled platí 30 minut a funguje jednou. Pokud mezitím někdo v administraci změní stejný produkt, chat vám musí ukázat nový náhled.

Čtení (kontroly, vyhledávání, přehledy) nic nemění a souhlas nepotřebuje.

Standard TellMyShop: jak chat mluví o změnách

Před každou změnou chat ukáže, co se změní, řekne riziko a jak změnu vrátit a požádá o souhlas. U cen a akcí dostanete krátkou kartu rizika.

Modul chatu tento standard připomíná při každém připojení a u každého náhledu. Čím vyšší riziko, tím víc chat řekne:

U více než 20 položek chat nejdřív ukáže 2–3 ukázky a navrhne vyzkoušet to na jedné položce. Za souhlas se počítá jen jasné „ano“ ke konkrétnímu náhledu; „ok“ bez souvislosti, otázka, „možná“ nebo žádná odpověď souhlasem nejsou. Po uložení chat zkontroluje výsledek, krátce ho shrne s čísly (například „28 z 30, 2 přeskočeny, protože…“) a řekne, jak změnu vrátit.

U změn s nízkým rizikem chat schválně nepřidává upozornění: příliš mnoho upozornění učí lidi klikat „ano“ bez čtení.

Pravidla vašeho obchodu pro chat. V kartě Nastavení: bezpečnost, upozornění, limity napíšete vlastní pravidla, jedno na řádek, například „Zákazníkům tykáme“, „Nikdy nepoužívej slovo levný“, „Popisy do 600 znaků“ (celkem do 1000 znaků). Chat je dostane při každém připojení. Nikdy nevypnou náhled ani váš souhlas před uložením.

Každou změnu lze vrátit zpět

• Zeptejte se „Co jsi včera změnil?“ a chat ukáže seznam. Ukáže ho i karta Historie změn v modulu.
• Napište „Vrať tu změnu“ a chat obnoví předchozí hodnotu, opět po náhledu. Celou sérii vrátíte jednou větou, i 40 produktů najednou.
• Nové produkty, kategorie a stránky, které chat vytvořil, se odstraní stejně.
• Soubory (šablona, moduly, soubory obchodu): před každou změnou vznikne záloha, kterou obnovíte z chatu nebo z karty Zálohy souborů.
• Změny databáze v oblasti Servis: změněné řádky se nejdřív zkopírují.
• Adresy stránek: chat vrátí adresu a zkontroluje, že stará přesměrovává.
• Databáze: modul zazálohuje celou databázi obchodu, když zapnete konektor, před první změnou každého dne, před zapnutím Šablony, Modulů nebo Servisu a když kliknete na Zálohovat hned. Uchovávají se poslední 2 zálohy, šifrované.

Několik operací se vrací jinak než z historie změn, například odinstalace modulu nebo změna struktury databáze v Servisu. Chat to řekne v náhledu, ještě než cokoli schválíte, a navrhne bezpečnější cestu, třeba modul vypnout místo odinstalace.

Vy volíte, na co chat může sáhnout

Modul hned čte celý obchod kromě trvalých blokací. Ukládání zapínáte po oblastech v kartě Zápis v oblastech:

• Přepínač se kontroluje ve chvíli, kdy změnu schválíte. Pokud během práce vyprší, chat se zastaví u náhledu a řekne, co zapnout.
• Každý chat můžete připojit jako Pouze čtení: pak neuvidí vůbec žádné nástroje pro ukládání.
• Bez licence Pro modul jen čte a připravuje plány; nic neukládá.
• Chat pracuje jako samostatný zaměstnanec, jen s oprávněními, která mu dáte. Protokol obchodu ukazuje vše, co udělal.
• Hodinové limity: ve výchozím stavu 300 volání, 150 uložení a 20 uložení souborů. Měníte je v kartě Nastavení: bezpečnost, upozornění, limity. Před prací na více než zhruba 20 položkách chat zkontroluje, zda se vejde do limitů, a jinak navrhne etapy. Série změn se nikdy nezastaví v půlce.

Kdo se může k vašemu obchodu připojit

Chat se k obchodu přihlašuje přes OAuth 2.1. Adresa obchodu pro chat není tajná, protože samotná adresa žádný přístup nedává. Chat, který se chce připojit, otevře okno vašeho obchodu a vy kliknete na Povolit nebo Odmítnout a zvolíte přístup: čtení a změny s vaším souhlasem, nebo pouze čtení.

• Ve výchozím stavu se mohou připojit jen Claude a ChatGPT.
• Každý připojený chat vidíte v kartě Propojené chaty (kdo ho schválil, odkdy, kdy byl naposledy použit) a odpojíte ho tlačítkem Odpojit. Chat ihned ztratí přístup.
• U každého nového připojení dostanete e-mail „K vašemu obchodu se připojil nový chat“.
• Připojení jdou jen přes HTTPS.

Povolte jen tehdy, když jste sami právě připojili chat ke svému obchodu. TellMyShop vás nikdy nežádá o zadání kódu z e-mailu, telefonu nebo chatu.

Starší adresa s klíčem (před 2.8) v aktualizovaných obchodech dál funguje, dokud ji nevypnete v Propojené chaty → Pokročilé: způsob propojení chatu. Takovou adresu uchovávejte jako heslo. Jakmile se každý chat připojuje přihlášením, vypněte ji; stará adresa se tím smaže. Nové instalace ji mají od začátku vypnutou.

O každé důležité změně víte

• E-mail u každého nově připojeného chatu a u každého širšího přístupu: zapnutý Prodej, Šablona, Moduly nebo Servis, zapnutý přístup k datům zákazníků, vyprázdněné seznamy IP, vypnutá upozornění.
• Denní souhrn e-mailem ve dnech, kdy se něco stalo: kolikrát se chat připojil, co změnil a případná upozornění.
• Upozornění na neobvyklou aktivitu: mnoho změn v krátké době nebo adresa zablokovaná po 20 neúspěšných pokusech o připojení.
• Kontrola vlastních souborů modulu. Pokud někdo v modulu změní nebo přidá soubor, dostanete upozornění.
• Nouzový klíč. Pokud po technické změně obchod ukazuje prázdnou stránku, otevřete záchrannou adresu, zadáte klíč a modul vrátí soubory, které změnil. Funguje to i tehdy, když se obchod nenačte.

Upozornění chodí na e-mailovou adresu obchodu, pokud nenastavíte jinou.

Zabezpečení navíc u cen

• Cenu nelze nastavit na 0.
• Změna ceny o více než 30 % potřebuje váš další souhlas.
• Sleva nad 90 % potřebuje váš další souhlas; nad 50 % dostanete upozornění.
• Nové slevové kódy začínají vypnuté. Zkontrolujete je, než je zákazníci budou moci použít.

Data vašich zákazníků

Data zákazníků jsou pro AI nedostupná a v historii změn šifrovaná. Ochrana dat zákazníků je samostatná funkce, nezávislá na oblastech zápisu: zapnutí Prodeje, Šablony nebo Modulů neodkryje žádné osobní údaje. TellMyShop vám pomáhá splnit požadavky GDPR, UK GDPR, CCPA/CPRA a LGPD.

V kartě Data zákazníků (GDPR) zvolíte jednu ze tří úrovní:

• Nedostupná (po instalaci). Chat nevidí zákazníky, adresy ani zprávy. Přehledy prodeje ukazují produkty a částky, bez jmen.
• Pseudonymizace. Chat vidí objednávky, zprávy a statistiky, ale jména jsou zkrácená na iniciály a e-maily, telefony a adresy jsou nahrazené aliasem jako „Klient-3f9a1c“. Chat může říct „tento zákazník objednal třikrát“, aniž by věděl, kdo to je. Data zákazníků měnit nemůže.
• Plný přístup (dočasný). Na 1, 4, 8 nebo 24 hodin, s účelem, který sami napíšete, například „reklamace objednávky 1234“. Potom se přístup sám vrátí na předchozí úroveň a dostanete e-mail.

Jak to funguje:

• Modul sám najde osobní údaje, i v tabulkách modulů jiných výrobců (recenze, newslettery, věrnostní programy). Karta Data zákazníků (GDPR) ukazuje, kolik tabulek našel.
• Šifrování. Záznamy historie s daty zákazníků a všechny zálohy souborů jsou šifrované (libsodium) a klíč leží v souboru mimo databázi. Únik samotné databáze tyto záznamy neodkryje.
• Vždy zablokované soubory: soubory s hesly a klíči, soubory zákazníků (upload/, download/), logy serveru, výpisy a zálohy databáze, .git a vlastní soubory modulu. V logech a zprávách jsou e-maily, telefony a IP adresy maskované.
• Protokol auditu: kdo a kdy zapnul plný přístup k datům, Servis a licenci. V panelu ho nelze vymazat; stáhnete ho jako CSV.
• Modul GDPR od PrestaShop (psgdpr): smazání nebo export dat zákazníka zahrnuje i historii TellMyShop.
• Texty pro dokumenty vašeho obchodu: modul navrhne část zásad ochrany osobních údajů a záznam do evidence zpracování.

Váš obchod zůstává správcem dat svých zákazníků. Rozdělení povinností je ve smlouvě o zpracování osobních údajů.

Kam jdou vaše data

• Modul běží na vašem vlastním serveru. Chat se k němu připojuje přímo, bez prostředníka.
• Když chat něco čte, jde to z vašeho obchodu do vašeho účtu Claude nebo ChatGPT. Konverzace se řídí podmínkami poskytovatele chatu; TellMyShop je nevidí a netrénuje na nich modely.
• Server TellMyShop nedostává vaše produkty, objednávky ani zákazníky. Kontrola licence posílá jen licenční klíč, doménu obchodu, náhodné ID instalace a čísla verzí (modul, PrestaShop, PHP). V panelu si můžete sami zapnout statistiky spuštění: jen čísla, žádný obsah obchodu a žádná data zákazníků.

Text ve vašem obchodě není pokyn

Popis produktu, komentář nebo zpráva od zákazníka mohou obsahovat text, který vypadá jako příkaz pro AI. TellMyShop na to má několik zabezpečení najednou: chat má pokyn brát obsah obchodu jako text a výsledky s obsahem obchodu nesou stejnou připomínku. Hesla, platby a daně jsou zablokované natrvalo, riskantní oblasti zapínáte jen vy a každá změna čeká na náhled a vaše „ano“.

Bezpečnostní kontrola

V říjnu 2026 prošla verze 2.8 modulů a webu TellMyShop bezpečnostní kontrolou bod po bodu, s automatickými testy a testy v obchodě s PrestaShop 8.1. Opravy z kontroly jsou ve verzi 2.8.1.

Oficiální validátor modulů PrestaShop: bez připomínek v sekcích zabezpečení, licence, struktura, překlady a optimalizace (verze 2.8.1). Plugin pro WordPress je postavený podle pravidel WordPressu pro pluginy.

Našli jste zranitelnost? Napište na [email protected] dřív, než zveřejníte podrobnosti.

Technické podrobnosti

Přihlášení chatu (OAuth 2.1). Modul je pro chat autorizačním serverem i serverem prostředků. Jen authorization code s povinným PKCE (S256); žádný implicit flow ani password grant. Přesné porovnání redirect URI (výjimka jen pro port loopback, RFC 8252). Jednorázové kódy; opakované použití odvolá připojení. Rotace refresh tokenu s odhalením opakovaného použití. Neprůhledné tokeny, jen v hlavičce Authorization, uložené jen jako otisk SHA-256. Vazba na příjemce (RFC 8707 resource), iss v odpovědi (RFC 9207), metadata autorizačního serveru (RFC 8414) a chráněného prostředku (RFC 9728), WWW-Authenticate u 401, registrace klientů (CIMD a RFC 7591) s limity, odvolání (RFC 7009). Okno souhlasu: token CSRF (HMAC) a cookie __Host-, frame-ancestors 'none', X-Frame-Options: DENY. Souhlas: majitel přihlášený do administrace ve stejném prohlížeči, nebo kód z okna chatu, platný 15 minut, zadaný v kartě Propojené chaty. Scope shop.read skryje nástroje pro ukládání. Přihlášení vyžaduje hosting, který předává hlavičku Authorization; test připojení v panelu to ověří.

Adresa s klíčem (starší způsob). Statický token v URL (?token=) nebo v hlavičce Authorization: Bearer, zapnutý v Propojené chaty → Pokročilé; v nových instalacích vypnutý. Ukládá se jen otisk SHA-256 a prefix; celý token se zobrazí jednou; nový token starý okamžitě odvolá. Kde to klient umí, použijte hlavičku.

Ochranná opatření endpointu (src/Endpoint.php, v tomto pořadí):

IP klienta: hlavičky proxy (CF-Connecting-IP, X-Forwarded-For) se použijí jen tehdy, když je zapnuto „Obchod za proxy / Cloudflare“ a přímý protějšek je na seznamu důvěryhodných proxy.

Zápisy. change_token = HMAC nástroje, argumentů a otisku stavu „před“; 30 minut, jednorázově; provedení se zablokuje, pokud se data po náhledu změnila. Ukládání jde přes ObjectModel (ObjectWriter): validace po polích, jen změněná pole, hooky actionObject…Update*, záznam v protokolu PrestaShopu s ID zaměstnance konektoru, historie změn zaznamenávající každý změněný řádek, i řádky, které cestou změnily jiné moduly. Podrobnosti: Specifikace §5.

Soubory. Šablona: whitelist Smarty a zkušební kompilace (SmartyGuard), kontrola JSON, upozornění na nové skripty a externí domény, rodičovská šablona jen pro čtení. Moduly a soubory obchodu (Files\Zone): jen relativní cesty, realpath() uvnitř zóny, jen textové přípony; balíčky ZIP modulů se před rozbalením kontrolují (zip-slip). Vždy zakázané: app/config/parameters.*, config/settings*.inc.php, .env*, *.key|pem|p12|crt|sql|sql.gz|dump|bak, .git, .svn, var/logs, upload, download, soukromý adresář modulu a modul samotný. Soubory PHP: kontrola syntaxe přes token_get_all(TOKEN_PARSE) před zápisem; žádný nástroj pro spouštění kódu. Každému zápisu předchází záloha; zálohy 90 dní, nejméně posledních 5 na soubor. Stahování obrázků a balíčků: jen veřejné IP, pevně svázané s připojením, žádná přesměrování do vnitřní sítě (SSRF).

SQL (oblast Servis). ps_db_query (Pro): SELECT/SHOW/DESCRIBE/EXPLAIN v transakci READ ONLY, nejvýše 200 řádků, e-maily a telefony maskované. ps_db_execute (přepínač Servis, 3 h): jeden příkaz, bez komentářů (SqlGuard); UPDATE/DELETE na jedné tabulce nejdřív zálohují dotčené řádky (nejvýše 1000) a vrátí se, pokud se změní víc řádků, než bylo uvedeno; INSERT se vrací smazáním řádku; změny struktury se v náhledu označí. Vždy zablokované: zaměstnanci, relace, profily a přístupy, configuration (přes ps_config, tajné údaje maskované), webservice a klienti API, tabulky konektoru. Tabulky s osobními údaji jen při úrovni dat zákazníků pseudo (maskované) nebo full. Servis je plný technický přístup, proto se zapíná na 3 hodiny, potřebuje úspěšnou zálohu databáze a zapisuje se do protokolu auditu.

Data zákazníků (src/Privacy/PersonalData.php). Úrovně off / pseudo / full (CUSTOMER_DATA); full jen na 1/4/8/24 h s uvedeným účelem a výslovným potvrzením, potom návrat na předchozí úroveň. Rozpoznání: pevný seznam tabulek PrestaShopu a běžných modulů (customer, address, orders, cart, messages, newsletter, psgdpr…) plus každá tabulka se sloupcem, jehož název odpovídá vzorům pro e-mail, jméno/příjmení, telefon, adresu, PSČ, IP, datum narození, DIČ nebo tajné údaje, načtené z information_schema; obchodní tabulky (contact, store, supplier, manufacturer, warehouse, carrier) vyloučené. Maskování na úrovni pseudo: e-mail, telefon, adresa a čísla dokladů → alias Klient- + 6 hexadecimálních znaků (HMAC-SHA256 s denním klíčem odvozeným z var/tellmyshop/keys/pseudonym.key); jméno → iniciály plus alias; IPv4 → první dva oktety, IPv6 skrytá; datum narození → rok; tajné údaje → ***. Volný text (logy, zprávy, soubory): e-maily zkrácené na j***@g***.com, telefony, IP, tokeny a hlavičky Authorization maskované. ps_list_changes maskuje data zákazníků v každém záznamu bez ohledu na CUSTOMER_DATA.

Zálohy databáze (src/Storage/DbBackup.php). Úplný výpis SQL, gzip, šifrovaný, v var/tellmyshop/db-backups/; vzniká při zapnutí konektoru, před první schválenou změnou dne, před Šablonou, Moduly nebo Servisem a tlačítkem Zálohovat hned; drží se poslední 2; mažou se při vypnutí konektoru a při odinstalaci. Nejde o transakční snímek. Udržujte i vlastní zálohy serveru.

Šifrování (src/Security/Crypto.php). libsodium secretbox (XSalsa20-Poly1305), náhodný 32bajtový klíč v var/tellmyshop/keys/history.key, mimo databázi. Šifrované: historie změn objektů s daty zákazníků, všechny zálohy souborů a databáze. Soubor s klíčem zálohujte spolu se zálohou serveru a kopii uložte zvlášť: bez klíče nelze šifrované změny vrátit.

psgdpr. Hooky actionDeleteGDPRCustomer (smaže data zákazníka ze šifrované historie) a actionExportGDPRData (vypíše operace konektoru, které se zákazníka týkaly, bez hodnot).

Upozornění majiteli (src/Security/Alerts.php). E-mail a záznam v protokolu se stavem ALERT při: novém připojeném chatu, datech zákazníků pseudo/full, zapnuté oblasti Prodej, Šablona, Moduly nebo Servis, vyprázdněných seznamech IP, vypnutých upozorněních, návalu zápisů (20 za 10 minut), blokaci IP, narušení integrity souborů modulu. Stejná událost nejvýše jednou za 15 minut (události z panelu vždy). Denní souhrn jednou za 24 h. Integrita (src/Security/Integrity.php): SHA-256 každého souboru porovnaný s diskem; vypíšou se změněné, smazané a přidané soubory PHP; kontroluje se při každé návštěvě panelu a konektorem nejvýše jednou za 6 h.

Nouzový klíč (src/Security/RescueKey.php). Zobrazí se jednou; ukládá se jen jeho SHA-256. Skript se zkopíruje do kořene obchodu pod náhodným názvem, protože PrestaShop blokuje přímá volání PHP v modules/. Obnoví soubory změněné konektorem a vypne Servis; změny databáze se obnovují z historie změn nebo ze zálohy databáze. Při odinstalaci se odstraní.

Uchovávání. Protokol připojení 30 dní (7–180); historie změn 180 dní (30–730); zálohy souborů 90 dní, nejméně 5 na soubor; zálohy databáze: poslední 2.

Není potřeba: PrestaShop Account, Eventbus. Odchozí spojení: licenční server (https://tellmyshop.com/api/v1), vlastní stránky obchodu (HttpProbe, kontroly URL), adresy balíčků ZIP modulů a obrázků, které chat předá na žádost majitele.

Kontrolní seznam pro IT

• Vlastní neaktivní zaměstnanec a profil, ne SuperAdmin (zařídí to tlačítko v panelu pro účet konektoru).
• Seznam Propojené chaty zkontrolovaný, neznámé chaty odpojené; chaty, které nemusí ukládat, připojené jako „Pouze čtení“.
• Adresa s klíčem vypnutá, pokud není potřeba.
• Prodej, Šablona, Moduly a Servis zapnuté jen po dobu práce; nouzový klíč vygenerovaný a uložený mimo obchod.
• Data zákazníků na „Nedostupná“, pokud je úkol nepotřebuje; plný přístup jen s uvedeným účelem.
• Seznamy povolených IP zkontrolované; nastavení proxy správné, pokud je obchod za Cloudflare.
• E-mailová adresa pro upozornění zkontrolovaná.
• Soubor se šifrovacím klíčem zálohovaný spolu se zálohou serveru.
• ps_check_shop_health spuštěný před většími změnami.

---

PrestaShop je registrovaná ochranná známka společnosti PrestaShop SA. Claude je ochranná známka společnosti Anthropic. ChatGPT je ochranná známka společnosti OpenAI. TellMyShop není s žádnou z nich spojen.