Sicurezza e privacy

TellMyShop salva nel negozio solo ciò che approvi, e ogni modifica si può annullare. La chat accede al negozio con OAuth 2.1, i dati dei clienti sono inaccessibili all’IA e cifrati nella cronologia delle modifiche, e il codice è passato per una revisione di sicurezza secondo OWASP ASVS 5.0, l’OWASP Top 10 per le applicazioni LLM, OAuth 2.1 con RFC 9700 e il CWE Top 25. Questa pagina spiega con parole semplici come funziona. La sezione finale è per il tuo tecnico o sviluppatore.

In breve

• Un’anteprima e la tua approvazione per ogni modifica. La chat mostra prima → dopo e salva solo dopo il tuo «sì».
• Ogni modifica si può annullare: con una frase nella chat o dalla cronologia delle modifiche. Prima della prima modifica di ogni giorno viene fatto un backup completo del database.
• Accesso della chat con OAuth 2.1. La chat si collega solo dopo il tuo clic su «Consenti» nella finestra del negozio. Nessuna password o chiave da copiare.
• I dati dei clienti sono inaccessibili all’IA e cifrati nella cronologia delle modifiche e nei backup dei file.
• Blocchi permanenti: password, chiavi API, pagamenti, tasse, stati degli ordini e account sono fuori dalla portata della chat a ogni livello.
• Senza intermediari: la chat si collega direttamente al modulo nel tuo negozio.
• Revisione di sicurezza secondo quattro standard, con test automatici e test in un negozio PrestaShop (dettagli).

Senza il tuo sì non cambia nulla

Ogni modifica ha tre passaggi:

1. Anteprima. La chat ti mostra cosa vuole cambiare: il testo vecchio e quello nuovo, il prezzo vecchio e quello nuovo, gli avvisi.
2. Approvazione. La chat aspetta. Salva solo quando rispondi «sì».
3. Salvataggio. La modifica viene salvata come quando un dipendente clicca Salva nel back office.

Un’anteprima vale 30 minuti e funziona una volta sola. Se nel frattempo qualcuno modifica lo stesso prodotto nel back office, la chat deve mostrarti una nuova anteprima.

La lettura (controlli, ricerche, report) non cambia nulla e non richiede approvazione.

Lo standard TellMyShop: come la chat parla delle modifiche

Prima di ogni modifica la chat mostra cosa cambierà, ti dice il rischio e come annullare, e chiede la tua approvazione. Per prezzi e promozioni ricevi una breve scheda di rischio.

Il modulo ricorda questo standard alla chat a ogni collegamento e a ogni anteprima. Più alto è il rischio, più la chat ne parla:

Con più di 20 elementi la chat mostra prima 2–3 esempi e propone una prova su un elemento. Vale come approvazione solo un «sì» chiaro a un’anteprima precisa; un «ok» senza contesto, una domanda, un «forse» o nessuna risposta non sono un’approvazione. Dopo il salvataggio la chat controlla il risultato, lo riassume con i numeri (per esempio «28 su 30, 2 saltati perché…») e ti dice come annullare.

Per le modifiche a basso rischio la chat non aggiunge avvisi di proposito: troppi avvisi abituano a cliccare «sì» senza leggere.

Le regole del tuo negozio per la chat. Nella scheda Impostazioni: sicurezza, avvisi, limiti scrivi le tue regole, una per riga, per esempio «Diamo del tu ai clienti», «Non usare mai la parola economico», «Descrizioni fino a 600 caratteri» (fino a 1000 caratteri in totale). La chat le riceve a ogni collegamento. Non disattivano mai l’anteprima né la tua approvazione prima del salvataggio.

Ogni modifica si può annullare

• Chiedi «Cosa hai cambiato ieri?» e la chat mostra l’elenco. Lo mostra anche la scheda Cronologia delle modifiche del modulo.
• Chiedi «Annulla quella modifica» e la chat ripristina il valore precedente, sempre dopo un’anteprima. Un’intera serie si annulla con una frase, anche 40 prodotti alla volta.
• Nuovi prodotti, categorie e pagine creati dalla chat si eliminano allo stesso modo.
• File (tema, moduli, file del negozio): prima di ogni modifica viene fatto un backup, che ripristini dalla chat o dalla scheda Backup dei file.
• Modifiche al database nell’area Manutenzione: prima vengono copiate le righe modificate.
• Indirizzi delle pagine: la chat rimette l’indirizzo precedente e controlla che quello vecchio reindirizzi.
• Database: il modulo esegue il backup dell'intero database del negozio quando attivi il connettore, prima della prima modifica di ogni giorno, prima di attivare Tema, Moduli o Manutenzione, e quando clicchi Esegui il backup ora. Vengono conservati gli ultimi 2 backup, cifrati.

Alcune operazioni si annullano in un altro modo rispetto alla cronologia delle modifiche, per esempio la disinstallazione di un modulo o una modifica alla struttura del database in Manutenzione. La chat lo dice nell’anteprima, prima che tu approvi qualcosa, e propone una strada più sicura, come disattivare un modulo invece di disinstallarlo.

Scegli tu cosa può toccare la chat

Il modulo legge subito tutto il negozio, tranne i blocchi permanenti. Il salvataggio si attiva per aree nella scheda Salvataggio per aree:

• L’interruttore viene controllato nel momento in cui approvi una modifica. Se scade durante il lavoro, la chat si ferma all’anteprima e ti dice cosa attivare.
• Puoi collegare qualsiasi chat in Sola lettura: allora non vede nessuno strumento di salvataggio.
• Senza licenza Pro il modulo legge soltanto e prepara piani; non salva nulla.
• La chat lavora come un dipendente a parte, solo con i permessi che le dai. Il log del negozio mostra tutto ciò che ha fatto.
• Limiti orari: per impostazione predefinita 300 chiamate, 150 salvataggi e 20 salvataggi di file. Li cambi nella scheda Impostazioni: sicurezza, avvisi, limiti. Prima di lavorare su più di una ventina di elementi, la chat controlla se il lavoro rientra nei limiti e, se no, propone delle fasi. Una serie di modifiche non si ferma mai a metà.

Chi può collegarsi al tuo negozio

La chat accede al negozio con OAuth 2.1. L’indirizzo del negozio per la chat non è segreto, perché l’indirizzo da solo non dà accesso. Una chat che vuole collegarsi apre la finestra del tuo negozio, e tu clicchi Consenti o Rifiuta e scegli l’accesso: lettura e modifiche con la tua approvazione, oppure sola lettura.

• Per impostazione predefinita possono collegarsi solo Claude e ChatGPT.
• Vedi ogni chat collegata nella scheda Chat collegate (chi l’ha approvata, da quando, quando è stata usata l’ultima volta) e la scolleghi con Scollega. La chat perde subito l’accesso.
• Ricevi un’e-mail «Nuova chat collegata al tuo negozio» per ogni nuovo collegamento.
• I collegamenti passano solo via HTTPS.

Clicca Consenti solo se hai appena collegato tu una chat al negozio. TellMyShop non ti chiede mai di digitare un codice ricevuto via e-mail, telefono o chat.

Il vecchio indirizzo con chiave (prima della 2.8) continua a funzionare nei negozi aggiornati finché non lo spegni in Chat collegate → Avanzate: come si collegano le chat. Conserva un indirizzo del genere come una password. Quando tutte le chat si collegano con l’accesso OAuth, spegnilo; così il vecchio indirizzo viene eliminato. Le nuove installazioni lo hanno spento fin dall’inizio.

Vieni a sapere di ogni cambiamento importante

• Un’e-mail per ogni nuova chat collegata e per ogni accesso più ampio: Vendite, Tema, Moduli o Manutenzione attivati, accesso ai dati dei clienti attivato, elenchi di IP svuotati, avvisi spenti.
• Un riepilogo giornaliero via e-mail nei giorni in cui è successo qualcosa: quante volte la chat si è collegata, cosa ha cambiato ed eventuali avvisi.
• Un avviso per attività insolite: molte modifiche in poco tempo, o un indirizzo bloccato dopo 20 tentativi di collegamento falliti.
• Un controllo dei file del modulo. Se qualcuno modifica o aggiunge un file nel modulo, ricevi un avviso.
• Una chiave di emergenza. Se una modifica tecnica lascia il negozio su una pagina bianca, apri l’indirizzo di emergenza, inserisci la chiave e il modulo ripristina i file che ha modificato. Funziona anche quando il negozio non si carica.

Gli avvisi vanno all’indirizzo e-mail del negozio, a meno che tu non ne imposti un altro.

Sicurezza in più per i prezzi

• Un prezzo non può essere impostato a 0.
• Una modifica di prezzo di oltre il 30 % richiede una tua approvazione in più.
• Uno sconto oltre il 90 % richiede una tua approvazione in più; oltre il 50 % ricevi un avviso.
• I nuovi codici sconto partono disattivati. Li controlli prima che i clienti possano usarli.

I dati dei tuoi clienti

I dati dei clienti sono inaccessibili all’IA e cifrati nella cronologia delle modifiche. La protezione dei dati dei clienti è una funzione a parte, indipendente dalle aree di salvataggio: attivare Vendite, Tema o Moduli non espone alcun dato personale. TellMyShop ti aiuta a rispettare i requisiti di GDPR, UK GDPR, CCPA/CPRA e LGPD.

Nella scheda Dati dei clienti (GDPR) scegli uno di tre livelli:

• Inaccessibili (dopo l’installazione). La chat non vede clienti, indirizzi né messaggi. I report di vendita mostrano prodotti e importi, senza nomi.
• Pseudonimizzato. La chat vede ordini, messaggi e statistiche, ma i nomi sono ridotti alle iniziali, e e-mail, telefoni e indirizzi sono sostituiti da un alias come «Klient-3f9a1c». La chat può dire «questo cliente ha ordinato 3 volte» senza sapere chi è. Non può modificare i dati dei clienti.
• Accesso completo (temporaneo). Per 1, 4, 8 o 24 ore, con uno scopo che scrivi tu, per esempio «reclamo sull’ordine 1234». Poi l’accesso torna da solo al livello precedente e ricevi un’e-mail.

Come funziona:

• Il modulo trova da solo i dati personali, anche nelle tabelle di moduli di altri produttori (recensioni, newsletter, programmi fedeltà). La scheda Dati dei clienti (GDPR) mostra quante tabelle ha trovato.
• Cifratura. Le voci della cronologia con dati dei clienti e tutti i backup dei file sono cifrati (libsodium), e la chiave si trova in un file fuori dal database. Una fuga del solo database non espone queste voci.
• File sempre bloccati: file con password e chiavi, file dei clienti (upload/, download/), log del server, dump e backup del database, .git e i file del modulo stesso. Nei log e nei messaggi, e-mail, telefoni e indirizzi IP sono mascherati.
• Log di controllo: chi ha attivato l’accesso completo ai dati, la Manutenzione e la licenza, e quando. Non si può svuotare dal pannello; lo scarichi in CSV.
• Il modulo GDPR di PrestaShop (psgdpr): cancellare o esportare i dati di un cliente comprende anche la cronologia di TellMyShop.
• Testi per i documenti del negozio: il modulo propone una sezione per l’informativa privacy e una voce per il registro dei trattamenti.

Il negozio resta titolare del trattamento dei dati dei suoi clienti. La divisione dei compiti è nell’accordo sul trattamento dei dati.

Dove vanno i tuoi dati

• Il modulo funziona sul tuo server. La chat si collega direttamente a esso, senza intermediari.
• Quando la chat legge qualcosa, il dato va dal negozio al tuo account Claude o ChatGPT. Le conversazioni seguono le condizioni del fornitore della chat; TellMyShop non le vede e non ci addestra modelli.
• Il server di TellMyShop non riceve i tuoi prodotti, ordini o clienti. Il controllo della licenza invia solo la chiave di licenza, il dominio del negozio, un ID di installazione casuale e i numeri di versione (modulo, PrestaShop, PHP). Nel pannello puoi attivare tu le statistiche di avvio: solo numeri, nessun contenuto del negozio e nessun dato dei clienti.

Il testo del negozio non è un’istruzione

Una descrizione di prodotto, un commento o un messaggio di un cliente possono contenere testo che sembra un comando per l’IA. TellMyShop ha per questo più protezioni insieme: la chat ha l’istruzione di trattare i contenuti del negozio come testo, e i risultati con contenuti del negozio portano lo stesso promemoria. Password, pagamenti e tasse sono bloccati per sempre, le aree rischiose le attivi solo tu e ogni modifica aspetta un’anteprima e il tuo «sì».

Revisione di sicurezza

A ottobre 2026 la versione 2.8 dei moduli e del sito TellMyShop è passata per una revisione di sicurezza punto per punto, con test automatici e test in un negozio PrestaShop 8.1. Le correzioni della revisione sono nella versione 2.8.1.

Validatore ufficiale dei moduli PrestaShop: nessuna osservazione nelle sezioni sicurezza, licenze, struttura, traduzioni e ottimizzazioni (versione 2.8.1). Il plugin per WordPress è realizzato secondo le linee guida di WordPress per i plugin.

Hai trovato una vulnerabilità? Scrivi a [email protected] prima di pubblicare i dettagli.

Dettagli tecnici

Accesso della chat (OAuth 2.1). Il modulo è il server di autorizzazione e il server delle risorse per la chat. Solo authorization code, con PKCE (S256) obbligatorio; niente flusso implicito né password grant. Corrispondenza esatta dell’URI di reindirizzamento (eccezione solo per la porta loopback, RFC 8252). Codici monouso; il riutilizzo revoca il collegamento. Rotazione del refresh token con rilevamento del riutilizzo. Token opachi, inviati solo nell’intestazione Authorization, salvati solo come hash SHA-256. Vincolo al destinatario (RFC 8707 resource), iss nella risposta (RFC 9207), metadati del server di autorizzazione (RFC 8414) e della risorsa protetta (RFC 9728), WWW-Authenticate su 401, registrazione dei client (CIMD e RFC 7591) con limiti, revoca (RFC 7009). Finestra di consenso: token CSRF (HMAC) e cookie __Host-, frame-ancestors 'none', X-Frame-Options: DENY. Consenso: titolare con accesso al back office nello stesso browser, oppure codice dalla finestra della chat, valido 15 minuti, inserito nella scheda Chat collegate. Lo scope shop.read nasconde gli strumenti di salvataggio. L’accesso richiede un hosting che inoltri l’intestazione Authorization; il test di collegamento nel pannello lo verifica.

Indirizzo con chiave (metodo precedente). Un token statico nell’URL (?token=) o nell’intestazione Authorization: Bearer, attivato in Chat collegate → Avanzate; spento nelle nuove installazioni. Vengono salvati solo l’hash SHA-256 e un prefisso; il token completo si vede una volta; un nuovo token revoca subito quello vecchio. Usa l’intestazione quando il client lo consente.

Misure dell’endpoint (src/Endpoint.php, in quest’ordine):

IP del client: le intestazioni proxy (CF-Connecting-IP, X-Forwarded-For) si usano solo se «Negozio dietro un proxy / Cloudflare» è attivo e il peer diretto è nell’elenco dei proxy fidati.

Scritture. change_token = HMAC di strumento, argomenti e un hash dello stato «prima»; 30 minuti, monouso; l’esecuzione è bloccata se i dati sono cambiati dopo l’anteprima. I salvataggi passano da ObjectModel (ObjectWriter): validazione per campo, solo i campi modificati, hook actionObject…Update*, voce nel log di PrestaShop con l’ID del dipendente del connettore, cronologia delle modifiche che registra ogni riga modificata, anche quelle cambiate di passaggio da altri moduli. Dettagli: Specifica §5.

File. Tema: whitelist Smarty e compilazione di prova (SmartyGuard), controllo JSON, avvisi per nuovi script e domini esterni, tema padre in sola lettura. Moduli e file del negozio (Files\Zone): solo percorsi relativi, realpath() all’interno della zona, solo estensioni di testo; pacchetti ZIP dei moduli controllati prima dell’estrazione (zip-slip). Sempre negati: app/config/parameters.*, config/settings*.inc.php, .env*, *.key|pem|p12|crt|sql|sql.gz|dump|bak, .git, .svn, var/logs, upload, download, la cartella privata del modulo e il modulo stesso. File PHP: controllo della sintassi con token_get_all(TOKEN_PARSE) prima della scrittura; nessuno strumento per eseguire codice. Ogni scrittura è preceduta da un backup; backup conservati 90 giorni, almeno gli ultimi 5 per file. Download di immagini e pacchetti: solo IP pubblici, fissati sul collegamento, nessun reindirizzamento verso la rete interna (SSRF).

SQL (area Manutenzione). ps_db_query (Pro): SELECT/SHOW/DESCRIBE/EXPLAIN in una transazione READ ONLY, massimo 200 righe, e-mail e telefoni mascherati. ps_db_execute (interruttore Manutenzione, 3 h): un’istruzione, senza commenti (SqlGuard); UPDATE/DELETE su una tabella salvano prima le righe interessate (massimo 1000) e vengono annullati se cambiano più righe di quelle dichiarate; INSERT si annulla eliminando la riga; le modifiche alla struttura sono segnalate nell’anteprima. Sempre bloccati: dipendenti, sessioni, profili e accessi, configuration (tramite ps_config, segreti mascherati), webservice e client API, tabelle del connettore. Tabelle con dati personali solo al livello dei dati dei clienti pseudo (mascherato) o full. La Manutenzione è un accesso tecnico completo, per questo si attiva per 3 ore, richiede un backup del database riuscito ed è registrata nel log di controllo.

Dati dei clienti (src/Privacy/PersonalData.php). Livelli off / pseudo / full (CUSTOMER_DATA); full solo per 1/4/8/24 h con uno scopo indicato e una conferma esplicita, poi ritorno al livello precedente. Rilevamento: elenco fisso di tabelle di PrestaShop e dei moduli più comuni (customer, address, orders, cart, messages, newsletter, psgdpr…) più ogni tabella con una colonna il cui nome corrisponde a schemi di e-mail, nome/cognome, telefono, indirizzo, CAP, IP, data di nascita, codice fiscale o segreti, letti da information_schema; tabelle aziendali (contact, store, supplier, manufacturer, warehouse, carrier) escluse. Mascheramento al livello pseudo: e-mail, telefono, indirizzo e numeri di documento → alias Klient- + 6 caratteri esadecimali (HMAC-SHA256 con una chiave giornaliera derivata da var/tellmyshop/keys/pseudonym.key); nome → iniziali più l’alias; IPv4 → primi due ottetti, IPv6 nascosto; data di nascita → anno; segreti → ***. Testo libero (log, messaggi, file): e-mail abbreviate in j***@g***.com, telefoni, IP, token e intestazioni Authorization mascherati. ps_list_changes maschera i dati dei clienti in ogni voce, qualunque sia CUSTOMER_DATA.

Backup del database (src/Storage/DbBackup.php). Dump SQL completo, gzip, cifrato, in var/tellmyshop/db-backups/; eseguito quando il connettore viene attivato, prima della prima modifica approvata della giornata, prima di Tema, Moduli o Manutenzione, e con Esegui il backup ora; conservati gli ultimi 2; cancellati quando il connettore viene spento e alla disinstallazione. Non è uno snapshot transazionale. Tieni anche i tuoi backup del server.

Cifratura (src/Security/Crypto.php). libsodium secretbox (XSalsa20-Poly1305), una chiave casuale di 32 byte in var/tellmyshop/keys/history.key, fuori dal database. Cifrati: la cronologia delle modifiche degli oggetti con dati dei clienti, tutti i backup dei file e del database. Fai il backup del file della chiave insieme al backup del server e conserva la copia a parte: senza la chiave le modifiche cifrate non si possono annullare.

psgdpr. Hook actionDeleteGDPRCustomer (cancella i dati del cliente dalla cronologia cifrata) e actionExportGDPRData (elenca le operazioni del connettore che hanno riguardato il cliente, senza valori).

Avvisi al titolare (src/Security/Alerts.php). E-mail e voce di log con stato ALERT per: una nuova chat collegata, dati dei clienti pseudo/full, area Vendite, Tema, Moduli o Manutenzione attivata, elenchi di IP svuotati, avvisi spenti, raffica di scritture (20 in 10 minuti), blocco IP, violazione dell’integrità dei file del modulo. Lo stesso evento al massimo una volta ogni 15 minuti (gli eventi del pannello sempre). Riepilogo giornaliero una volta ogni 24 h. Integrità (src/Security/Integrity.php): SHA-256 di ogni file confrontato con il disco; elencati i file PHP modificati, eliminati e aggiunti; controllato a ogni visita del pannello e al massimo ogni 6 h dal connettore.

Chiave di emergenza (src/Security/RescueKey.php). Mostrata una volta; viene salvato solo il suo SHA-256. Uno script viene copiato nella radice del negozio con un nome casuale, perché PrestaShop blocca le chiamate PHP dirette in modules/. Ripristina i file modificati dal connettore e spegne la Manutenzione; le modifiche al database si ripristinano dalla cronologia delle modifiche o da un backup del database. Rimosso alla disinstallazione.

Conservazione. Log dei collegamenti 30 giorni (7–180); cronologia delle modifiche 180 giorni (30–730); backup dei file 90 giorni con almeno 5 per file; backup del database: gli ultimi 2.

Non necessari: PrestaShop Account, Eventbus. Chiamate in uscita: il server delle licenze (https://tellmyshop.com/api/v1), le pagine del negozio stesso (HttpProbe, controlli degli URL), gli URL dei pacchetti ZIP dei moduli e delle immagini che la chat passa su richiesta del titolare.

Checklist per l’IT

• Dipendente e profilo dedicati e inattivi, non SuperAdmin (lo fa il pulsante del pannello per l’account del connettore).
• Elenco Chat collegate controllato, chat sconosciute scollegate; chat che non devono salvare collegate in «Sola lettura».
• Indirizzo con chiave spento se non serve.
• Vendite, Tema, Moduli e Manutenzione attivati solo per la durata del lavoro; chiave di emergenza generata e conservata fuori dal negozio.
• Dati dei clienti su «Inaccessibili», a meno che un lavoro non li richieda; accesso completo solo con uno scopo indicato.
• Elenchi IP consentiti controllati; impostazione proxy corretta se il negozio è dietro Cloudflare.
• Indirizzo e-mail per gli avvisi controllato.
• File della chiave di cifratura incluso nel backup del server.
• ps_check_shop_health eseguito prima di modifiche importanti.

---

PrestaShop è un marchio registrato di PrestaShop SA. Claude è un marchio di Anthropic. ChatGPT è un marchio di OpenAI. TellMyShop non è affiliato a nessuno di essi.