# Двуфакторна автентикация, SSL и домейн в CloudCart: сигурност на екипа

Двуфакторна автентикация, SSL сертификат и права на служителите в CloudCart: как се включват стъпка по стъпка и какво правите при загубен телефон.

Източник: https://cloudcart.com/blog/domain-ssl-security · CloudCart · 2026-11-05

Накратко: двуфакторната автентикация (2FA) е вход с парола и 6-цифрен код от приложение на телефона. В CloudCart я включвате от профила за 2 минути. SSL сертификатът от Let's Encrypt се издава за домейна и се подновява сам 25 дни преди изтичане. Правата на служителите се дават по секции, за 1 до 10 акаунта според плана.

Ръководството е за собственици на онлайн магазини в CloudCart, българската платформа за онлайн магазини, които имат екип или скоро ще имат. В него е пътят в админа за всяка настройка, имената на полетата и решенията, които взимате вие: кой служител какво вижда, какво правите, когато някой напусне, и как да дадете достъп на AI агент, без да му давате целия магазин. Описанието е проверено на 04.11.2026 в документацията на платформата и на страниците [Домейн, SSL и GDPR](https://cloudcart.com/domain) и [Екип и права](https://cloudcart.com/team).

## Какво защитава всяка мярка за сигурност

Всяка от трите мерки затваря различна врата: двуфакторната автентикация пази входа в админа, SSL сертификатът пази данните между клиента и магазина, а правата на служителите ограничават щетата, ако някой акаунт бъде пробит. Едната не замества другите, затова ги настройвате и трите.

| Мярка | От какво пази | Къде е в CloudCart | Кой я настройва |

| Двуфакторна автентикация (2FA) | Вход с открадната или позната парола | Профил (менюто горе вдясно) → Двуфакторна автентикация | Всеки служител за себе си |

| Резервни кодове | Заключване при загубен телефон | Профил → Двуфакторна автентикация → Резервни кодове | Всеки служител за себе си |

| SSL сертификат (https) | Прихващане на данни, предупреждение „Не е защитено“ в браузъра | Настройки → Домейни → бутон SSL на реда на домейна | Собственикът или модератор с право за домейните |

| Права по секции | Достъп до поръчки, клиенти или настройки, които човек не ползва | Настройки → Персонал → редът на модератора | Собственикът |

| Изход на всички | Активна сесия на пробит акаунт или на напуснал служител | Настройки → Персонал → Force sign out | Само собственикът |

| PAT токен с ограничени права | AI агент или скрипт с повече достъп от нужния | Настройки → PAT токени | Само собственикът |

| Ежедневни резервни копия | Изтрити продукти, грешен масов импорт, повредени данни | Настройки → Backup & Restore | Собственикът; възстановяването иска 2FA код |

| Блокирани IP адреси | Фалшиви поръчки с наложен платеж от един и същ адрес | Настройки → Block Client IP addresses | Собственикът или модератор с право за секцията |

## Какво е двуфакторна автентикация и защо я включвате

Двуфакторната автентикация (2FA, на английски two-factor authentication, срещат се и „двуфакторно удостоверяване“ и „двустепенна проверка“) е вход с две доказателства от различен вид: паролата, която знаете, и код от устройство, което държите в ръката си. В CloudCart вторият фактор е TOTP код (Time-based One-Time Password): 6 цифри, които приложението на телефона сменя на всеки 30 секунди по стандарта [RFC 6238](https://datatracker.ietf.org/doc/html/rfc6238).

Кодът пази админа, дори когато паролата изтече в чужди ръце: при изтекла база данни на друг сайт, при фишинг писмо или когато паролата е записана на лист до касата. Според [Microsoft](https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/) многофакторният вход спира над 99,9% от атаките за превземане на акаунти. Агенцията за киберсигурност на САЩ [CISA](https://www.cisa.gov/MFA) също препоръчва многофакторния вход за всеки акаунт.

За онлайн магазина залогът е конкретен. Който влезе в админа, вижда имената, адресите и телефоните на клиентите, може да смени банковата сметка в настройките или да пусне фалшиви отстъпки. GDPR изисква „подходящи технически и организационни мерки“ за личните данни ([GDPR, чл. 32](https://eur-lex.europa.eu/legal-content/BG/TXT/?uri=CELEX:32016R0679)), а 2FA е най-простата от тях. Останалите задължения по GDPR са в ръководството за [GDPR и бисквитките в CloudCart](https://cloudcart.com/blog/gdpr-cookies-legal).

### Видове втори фактор: SMS, имейл, приложение, ключ

Факторите за вход са три вида: нещо, което знаете (парола, ПИН), нещо, което притежавате (телефон, хардуерен ключ), и нещо, което сте (пръстов отпечатък, лице). Двуфакторната автентикация съчетава два различни вида, затова две пароли не са 2FA. Методите за втория фактор се различават по сигурност:

| Метод | Как работи | Сигурност | В CloudCart |

| Код по SMS | Операторът праща код на телефонния номер | Ниска: уязвим при подмяна на SIM карта; NIST го води като ограничен метод | Не е сред методите |

| Код по имейл | Платформата праща код на пощата | Средна: зависи от сигурността на пощата | Да, 6 цифри, валиден 60 минути |

| Приложение (TOTP) | Телефонът прави нов код на всеки 30 секунди без интернет | Висока | Да, препоръчаният метод |

| Резервни кодове | Еднократни кодове, записани предварително | Висока, ако се пазят отделно от телефона | Да, 12 кода на служител |

| Хардуерен ключ или passkey | Физически ключ (FIDO2) или биометрия на устройството | Най-висока: устойчив на фишинг според CISA | Не е сред методите |

Оценките за SMS и за устойчивите на фишинг методи са от насоките на [NIST SP 800-63B](https://pages.nist.gov/800-63-4/sp800-63b.html) и от препоръките на [CISA за многофакторния вход](https://www.cisa.gov/MFA). В админа на CloudCart вторият фактор е приложение, код по имейл или резервен код. MFA (многофакторна автентикация) е общото име за два или повече фактора, а 2FA е най-честият ѝ вид.

## Как включвам двуфакторна автентикация (2FA) в CloudCart

Двуфакторната автентикация се включва от всеки служител за собствения му акаунт за около 2 минути: сканирате QR код с приложение, въвеждате първия код и пазите резервните кодове. Подходящи са Google Authenticator, Microsoft Authenticator, Authy, 1Password и всяко друго приложение, което поддържа TOTP.

- Инсталирайте приложение за кодове на телефона. Google Authenticator или Microsoft Authenticator стигат. Ако ползвате мениджър на пароли като 1Password, кодовете може да живеят и там.

- Отворете екрана за 2FA. В админа натиснете профила си (менюто горе вдясно) → Двуфакторна автентикация (Two-factor authentication). Същото се отваря и от Настройки → Персонал → вашия ред → бутон Configure на реда „Use authenticator app for faster login“.

- Сканирайте QR кода (STEP 1). В приложението изберете „Добави акаунт“ и насочете камерата към кода на екрана. Ако настройвате на същото устройство и нямате камера, натиснете Show setup key и препишете ключа.

- Въведете кода за потвърждение (STEP 2). Напишете текущите 6 цифри от приложението и натиснете Validate . При грешен код се показва „The 'One Time Password' typed was wrong.“: изчакайте следващия код и опитайте пак.

- Запазете резервните кодове (STEP 3). Платформата създава 12 еднократни кода. Изтеглете ги (файл cc2fa.csv ), отпечатайте ги или ги копирайте. Бутонът Finish се появява едва след едно от трите действия.

От този момент всеки вход в /admin/login минава през екран „Configuration access requires verification“: имейл и парола, после 6-цифреният код и Validate. Когато телефонът не е под ръка, връзката „Use a restore code instead“ отваря поле за резервен код.

Важно: двуфакторната автентикация е лична, по служител. В CloudCart няма ключ, с който собственикът да я включи наведнъж за целия екип. Поискайте от всеки служител да я настрои в първия си работен ден и проверете с него, че е минал STEP 3.

### Код по имейл или приложение: кое да изберете

Приложението е по-сигурният и по-бързият избор. Всеки служител в CloudCart има и проверка по имейл, която не се изключва: при защитено действие, например добавяне на модератор, без настроено приложение платформата праща 6-цифрен код на имейла му, валиден 60 минути. Щом приложението е настроено, кодове по имейл повече не се пращат и важи само кодът от телефона.

|  | Приложение (TOTP) | Код по имейл |

| Дължина на кода | 6 цифри | 6 цифри |

| Валидност | 30 секунди | 60 минути |

| Зависи от пощата | Не, кодът се прави на телефона | Да: спам, забавяне или пробита поща |

| Ако устройството се загуби | Резервен код | Достъп до пощата |

| Препоръка | За всеки служител | Само докато приложението не е настроено |

Ако кодът по имейл не идва или пада в спама, най-трайното решение е да настроите приложението. То прави кодовете на самото устройство и не чака писмо.

## Какво правя, ако загубя телефона с кодовете

При загубен телефон влизате с резервен код: на екрана за проверка натиснете „Use a restore code instead“ и въведете един от 12-те кода, които сте запазили. Всеки код работи веднъж. Използваният код се показва зачеркнат, а при следващото отваряне на страницата с резервните кодове броят им отново става 12.

Резервният код има вида XXXXXXXXXX-XXXXXXXXXX: два блока по 10 букви и цифри. Кодовете са лични: ако трима души в екипа имат 2FA, всеки има свои 12. Пазете ги в мениджър на пароли или отпечатани в заключено чекмедже, отделно от телефона.

Ако няма нито телефон, нито резервни кодове, пишете на [support@cloudcart.com](https://cloudcart.commailto:support@cloudcart.com). Поддръжката може да изключи 2FA на акаунта след проверка на самоличността. Това отнема повече време от един резервен код, затова STEP 3 при настройката е задължителна стъпка.

## Има ли SSL сертификат магазинът в CloudCart

Да. Адресът на CloudCart (вашиятмагазин.cloudcart.net) има сертификат още от първия ден, а за своя домейн инсталирате сертификат от Let's Encrypt с един бутон или качвате свой. SSL сертификатът е файлът, с който браузърът потвърждава, че сайтът е вашият, и криптира връзката. С него адресът започва с https и браузърът показва катинар.

Без валиден сертификат Chrome маркира сайта като „Не е защитено“ от версия 68 насам ([Chromium Blog](https://blog.chromium.org/2018/02/a-secure-web-is-here-to-stay.html)), а Google ползва https като сигнал при класирането ([Google Search Central](https://developers.google.com/search/blog/2014/08/https-as-ranking-signal)). За магазина това значи по-малко доверие на касата и по-слаба позиция в търсенето.

### Как се инсталира SSL за вашия домейн

- Насочете домейна към CloudCart. Сертификатът се издава само за домейн, който вече сочи към магазина (виж следващия раздел).

- Отворете Настройки → Домейни. На реда на домейна натиснете действието SSL . Отваря се прозорецът за SSL на този домейн.

- Изберете Automatic install. Полето Common Name (CN) показва домейна и не се редактира. Ако е нужно, прозорецът първо предлага да инсталирате приложението Let's Encrypt Manager: в някои държави то е платено и цената се вижда на бутона.

- Натиснете Automatic install. Платформата проверява домейна през Let's Encrypt и издава сертификат за вашдомейн.bg и www.вашдомейн.bg заедно.

- Проверете статуса. Прозорецът показва инсталирания сертификат със зелен етикет Automatic и дата на изтичане.

Сертификатите на Let's Encrypt са с валидност 90 дни ([Let's Encrypt FAQ](https://letsencrypt.org/docs/faq/)). CloudCart проверява всички сертификати веднъж дневно и подновява всеки, на който остават под 25 дни. Ако подновяването не успее, в прозореца на SSL излиза червено поле SSL ERROR с причината, а най-честата е „Header x-powered-by not found for domain“: домейнът вече не сочи към CloudCart. Подновяването се пропуска и когато абонаментът на магазина не е платен или приложението Let's Encrypt Manager е с изтекъл абонамент.

Ако сертификатът все пак изтече, магазинът не спира. Основният домейн се връща към адреса в cloudcart.net, своят домейн се деактивира, а в известията на админа излиза „The SSL certificate for domain … is expired. Switched to main host“. След поправката активирате домейна, инсталирате сертификата отново и пак го задавате като основен.

### Свой сертификат от друг доставчик

Свой сертификат (OV, EV или wildcard от друг доставчик) качвате в същия прозорец, раздел Manual install, когато на домейна няма инсталиран сертификат: попълвате данните за фирмата, генерирате CSR и частен ключ, после поставяте сертификата и веригата (Chained Certificate). Такъв сертификат е с лилав етикет Manual и не се подновява сам: сменяте го вие преди датата на изтичане. На един домейн има един сертификат, така че за смяна от ръчен към автоматичен първо натискате Remove.

> CloudCart Pay 0% такса за транзакция до 31.12.2026 Катинарът и https са първото, което клиентът проверява, преди да въведе картата си. С CloudCart Pay плащането с Visa, Mastercard, Apple Pay и Google Pay е вградено в магазина и до 31.12.2026 е без такса за транзакция. Как работи CloudCart Pay →

## Как свързвам или купувам домейн за магазина

Домейн добавяте от Настройки → Домейни → + Add domain по два начина: свързвате домейн, който вече имате при друг регистратор, или купувате нов направо от админа. Магазинът работи на адреса в cloudcart.net от първия ден и този адрес остава като резервен, когато сложите свой.

|  | Свой домейн (Add existing) | Нов домейн (Purchase new) |

| Регистрация | Остава при досегашния регистратор | Купувате от админа, с цена за първата година и за следващите |

| Подновяване | Плащате на регистратора си | Бутон Renew се появява 30 дни преди изтичане |

| DNS | Сменяте nameservers към Cloudflare през админа (препоръчано) или добавяте CNAME запис, ако планът има свободно място за CNAME домейн | Управлява се от админа |

| Време до активиране | От минути до 48 часа след смяната на nameservers | Активен след покупката |

Препоръчаният метод за своя домейн е пълното управление през Cloudflare: в прозореца на DNS виждате nameservers, които махате от регистратора, и новите, които добавяте. Така DNS записите се редактират от админа, а магазинът получава защита от DDoS атаки. Пощата остава при досегашния доставчик: добавяте записите за нея (MX) в DNS настройките на домейна в админа и имейлът не спира.

Основният домейн (Primary) е адресът, който виждат клиентите, който стои в canonical таговете, в sitemap и в писмата до клиентите. Бутонът Set as primary проверява три неща: дали DNS сочи към CloudCart, дали има валиден SSL и дали домейнът отговаря от CloudCart. Ако излезе „Invalid domain headers“ веднага след смяна на nameservers, опитайте пак след няколко минути. Другите активни домейни обикновено пренасочват към основния с 301, така че Google вижда един адрес. Как да пазите позициите при смяна на адреса е описано в статията за [мета описанията, sitemap и 301 пренасочванията в CloudCart](https://cloudcart.com/blog/seo-tools-online-store).

> Миграция €0 за пренасяне при договор за 24 месеца, до 31.12.2026 Ако домейнът сега е на WooCommerce, Shopify, Magento или OpenCart, екипът на CloudCart строи новия магазин на адрес на CloudCart и превключва домейна едва когато бройките в стария и в новия магазин съвпаднат. Пренасянето е до 45 дни, а старият магазин продава през това време. Как минава миграцията →

## Как давам достъп на служител до админа

Достъп на служител давате, като го добавите като модератор от Настройки → Персонал → Add moderator и отметнете само секциите, с които той работи. В CloudCart има две роли: един собственик (Administrator), който е създал магазина и вижда всичко, и модератори с права по секции. Бутонът Add moderator е само за собственика.

- Натиснете Add moderator. Ако планът е изчерпал местата, излиза съобщение „You have reached the maximum number of administrators allowed“ с опция да купите допълнително място.

- Потвърдете с код. Добавянето на модератор винаги иска 2FA код: от приложението или по имейл. След проверка с приложение имате 2 минути да запишете формата, след код по имейл имате 60 минути.

- Попълнете профила. Username, Email, First name и Last name са задължителни. Потребителското име и имейлът са уникални за цялата платформа, затова „admin“ или „sklad“ често са заети: ползвайте име с марката, например „sklad-vashamarka“.

- Отметнете правата. В Access permissions е дървото на админа: Dashboard, Orders, Products, Customers, Marketing, Settings, Reports, Apps и подсекциите им. Отметка на цяла секция дава и всичко под нея.

- Натиснете Save. Служителят получава достъп, а на имейла на магазина идва известие за нов акаунт, ако то е включено в Настройки → Известия до администраторите.

- Помолете служителя да включи 2FA. Той отваря профила си (менюто горе вдясно) → Двуфакторна автентикация и минава стъпките от раздела за двуфакторната автентикация. Страницата Персонал модераторът вижда само ако има право за нея.

### Примерни права по роля

| Човек в екипа | Секции, които отмятате | Какво остава скрито |

| Склад и изпращане | Orders, Products (наличности) | Marketing, Settings, Reports |

| Маркетинг | Marketing, Products (описания и снимки) | Settings, плащания |

| Счетоводство | Orders, Reports | Products, Marketing, Settings |

| Обслужване на клиенти | Orders, Customers | Settings, Apps, Reports |

Секция без отметка изчезва от менюто на модератора. Правата на модератор задава и записва само собственикът, а модераторът не може да промени собствените си права. Когато платформата добави нова секция, съществуващите модератори не я получават автоматично. Кой е сменил дадена поръчка, се вижда в историята на самата поръчка, а повече за статусите и редакцията има в ръководството за [управлението на поръчките в CloudCart](https://cloudcart.com/blog/order-management).

### Колко служители позволява всеки план

| План | Цена на месец (годишно плащане, без ДДС) | Админ акаунти |

| Baby Pack | €14 | 1 |

| Starter Pack | €33 | 3 |

| CC Pro | €83 | 5 |

| CC Master | €249 | 10 |

Цените и лимитите са от [страницата с плановете](https://cloudcart.com/pricing) към ноември 2026. Собственикът се брои в лимита. Допълнителни места се купуват като пакет от същия прозорец, а при преминаване към по-малък план съществуващите модератори остават, само нови не се добавят. За голям екип с отделни звена, ERP и няколко магазина вижте [Enterprise решенията на CloudCart](https://cloudcart.com/enterprise).

> €1 за 3 месеца €1 на месец за първите 3 месеца на всеки план Отстъпката важи за всеки план за нови магазини: на CC Pro получавате 5 админ акаунта за €1 на месец в първите 3 месеца. Подреждате правата на екипа, свързвате домейна и SSL, преди да платите пълната цена. Създайте магазин за €1 →

## Какво правя, когато служител напусне или паролата изтече

Когато служител напусне, изтривате акаунта му и излизате от всички сесии: изтриването спира новите входове, а Force sign out прекъсва сесиите, които вече са отворени. Двете действия са в Настройки → Персонал и са само за собственика.

- Изтрийте модератора. Иконата с кошчето е на реда му в колоната Actions → потвърдете с Delete. Изтриването е окончателно, а акаунтът на собственика не може да се изтрие.

- Натиснете Force sign out. Червеният бутон горе на страницата излиза от всички акаунти на собственика и модераторите наведнъж, включително от вашия. Клиентите във витрината не усещат нищо.

- Влезте отново и сменете паролата. Ако подозирате, че паролата е изтекла, сменете я от профила (Change your password), преди да кажете на екипа да влезе пак.

- Проверете PAT токените. Изтрийте токените, до които служителят е имал достъп, и създайте нови.

Force sign out не праща известие до екипа, затова им пишете предварително, че ще трябва да влязат отново. Той не променя акаунтите, правата и настройката на 2FA: всеки влиза със същите данни.

## Как давам достъп на AI агент, без да рискувам магазина

AI агент като Claude Code, ChatGPT Codex или Gemini CLI влиза в магазина с PAT токен (Personal Access Token), който създава само собственикът в Настройки → PAT токени. Агентът не получава паролата ви: работи с ключ, за който вие решавате права, срок и IP адреси.

При Custom Permissions избирате за всеки от 8-те ресурса (Products, Orders, Customers, Inventory, Discounts, Blog, Settings, Webhooks) между None, Read и Read & Write. Агент, който пише описания и SEO текстове, работи с Products и Blog и не вижда нито един клиент. Към токена добавяте срок на валидност и до 20 разрешени IP адреса, а изтриването му спира достъпа веднага. Това е принципът на най-малките права ([least privilege по NIST](https://csrc.nist.gov/glossary/term/least_privilege)), същият, по който давате права на модераторите.

Ползата е в часовете. Агентът сменя цени на 300 продукта, пише отчет за продажбите в 8:00 или подготвя кампания с едно изречение, а вие решавате до какво стига. Метриките на магазина (приходи, поръчки, средна поръчка, повторни клиенти) агентът чете направо през API-то с токен Read Only, без някой да влиза в админа и да вади справки ръчно.

### Какви права да дадете на агента за всяка задача

| Задача на агента | Права в PAT токена | Какво агентът не вижда и не пипа |

| Сутрешен отчет за продажбите и метриките | Read Only (отбелязан в админа като препоръчан) | Не може да промени нищо в магазина |

| Описания, SEO текстове и статии в блога | Custom: Products и Blog с Read & Write | Клиенти, поръчки, настройки |

| Масова смяна на цени и наличности | Custom: Products и Inventory с Read & Write | Клиенти, плащания, настройки |

| Промо кодове за кампания | Custom: Discounts с Read & Write, Products с Read | Клиенти и поръчки |

| Обработка на поръчки и статуси | Custom: Orders с Read & Write | Настройки, уебкуки, блог |

Всеки токен има превключвател за активност: изключеният токен спира да работи веднага, а при повторно включване същият ключ работи отново. Колоната за последно ползване се обновява само при успешна заявка, затова показва точно дали агентът работи. Изтриването е окончателно, а новият токен е с нова стойност. Магазинът може да има до 100 токена, по един за всеки агент или скрипт, за да спирате всеки поотделно.

Кои метрики да следите и как агентът ги събира е описано в ръководството за [метриките на онлайн магазина през AI агент](https://cloudcart.com/blog/ecommerce-kpi-metrics-ai-agent), а готов сценарий за отчет всяка сутрин има в статията за [ежедневния отчет от AI агента](https://cloudcart.com/blog/ai-agent-daily-store-report). Защо управлението през агент спестява часове е в [статията за ползите от AI агент в магазина](https://cloudcart.com/blog/ai-agent-online-store-why), а свързването стъпка по стъпка е в ръководството за [управлението на магазина с Claude Code](https://cloudcart.com/blog/online-store-with-claude) и за [PAT токена и правата на AI агента](https://cloudcart.com/blog/ai-assistant-store-management).

> Магазин с AI асистент Права по ресурси, срок и до 20 IP адреса за всеки ключ Агентът управлява каталога, поръчките и кампаниите от изречение в Claude Code, ChatGPT Codex, Gemini CLI или Cursor, но вижда само ресурсите, които сте отметнали в PAT токена. Свързването е без такса от CloudCart, а абонамента за асистента плащате на неговия доставчик. Магазин, управляван от AI асистент →

## Как да върна магазина след грешка и да спра фалшиви поръчки

Магазинът се връща след грешка от ежедневните резервни копия в Настройки → Backup & Restore, а фалшивите поръчки от един адрес спирате в Настройки → Block Client IP addresses. Двете функции пазят от щети, които 2FA не покрива: грешка на служител, лош масов импорт или поръчки с наложен платеж, които никой няма да плати.

Резервното копие на CloudCart обхваща целия магазин: продукти, поръчки, клиенти и настройки. Платформата го прави всеки ден сама, а историята започва от деня, в който услугата е активирана. Пълното възстановяване заменя всички данни с копието и докато тече, витрината е в режим на поддръжка. Частичното възстановяване (отделна добавка) връща само избрани части, например продуктите, без да спира магазина. Преди всяко възстановяване платформата прави и предпазно копие на текущото състояние, така че можете да се върнете обратно.

Възстановяването винаги иска код за двуфакторна автентикация. Така служител с пробита парола не може да изтрие седмици работа с едно натискане. Кои планове включват резервните копия и колко дни се пазят, проверете на [страницата с плановете](https://cloudcart.com/pricing).

Блокираният IP адрес може да разглежда магазина, но поръчката му с наложен платеж или банков превод влиза в админа като отказана, с бележка за причината. Клиентът вижда обичайната страница „Благодарим за поръчката“ и не получава писмо, а наличността се връща сама. Онлайн плащанията с карта не се блокират, защото там парите вече са платени. Адресите се добавят ръчно, по един (IPv4 или IPv6), с описание до 191 знака.

| Ситуация | Какво правите в CloudCart |

| Служител изтри категория с 200 продукта | Частично възстановяване само на продуктите от копието отпреди грешката |

| Масовият импорт развали цените | Пълно възстановяване от копието отпреди импорта; платформата първо прави предпазно копие на текущото състояние |

| 5 неплатени пратки с наложен платеж от един IP адрес | Добавяте адреса в Block Client IP addresses с описание |

| Подозрение за пробит акаунт | Force sign out, смяна на паролата, проверка на PAT токените |

Повече за разликата между наложен платеж и плащане с карта има в статията за [наложения платеж и картовите плащания](https://cloudcart.com/blog/cash-on-delivery-vs-card-payments).

## Добри практики за сигурност на екипа

- 2FA с приложение за всеки, още в първия ден. Включете го първо на собственика, после на всеки нов модератор, преди да започне работа.

- Резервните кодове извън телефона. Мениджър на пароли или отпечатан лист в заключено място. Телефонът и кодовете не бива да се губят заедно.

- Един човек, един акаунт. Обща парола за „склад“ не казва кой е сменил поръчката. Всеки има собствен вход и собствени кодове.

- Правата по задача, не по длъжност. Започнете с минимума от таблицата по-горе и добавяйте секция, когато човекът наистина я поиска.

- Известията за екипа включени. В Настройки → Известия до администраторите оставете включени известията за нов акаунт, промяна на профил и смяна на парола: те са единственият сигнал, че някой е пипал акаунтите.

- Автоматичен SSL за домейна. Let's Encrypt се подновява сам. При ръчен сертификат сложете напомняне 30 дни преди датата на изтичане.

- Преглед на всеки 3 месеца. Минете списъка в Настройки → Персонал и PAT токените, изтрийте неизползваните и проверете, че 2FA е настроено на всички.

## Грешки, които да избягвате

- Затваряте прозореца преди STEP 3. Без резервни кодове загубеният телефон означава писмо до поддръжката и чакане.

- Разчитате само на кода по имейл. Ако пощата е пробита, пробит е и вторият фактор. Приложението пази и от това.

- Смятате, че собственикът включва 2FA на всички. Такъв ключ няма: всеки служител настройва своето.

- Махате сертификата от основния домейн. Remove спира https веднага, а платформата връща адреса в cloudcart.net само при изтекъл сертификат. Първо инсталирайте новия, после сменяйте.

- Сменяте nameservers, без да добавите MX записите за пощата. Проверете в прозореца за DNS, че записите за имейла са там, иначе писмата спират.

- Давате на AI агента Full Access „за всеки случай“. Read Only или Custom Permissions покриват повечето задачи.

## Често задавани въпроси

**Как включвам двуфакторна автентикация в CloudCart?**

Отворете профила си горе вдясно → Двуфакторна автентикация. Сканирайте QR кода с Google Authenticator, Microsoft Authenticator или Authy, въведете 6-цифрения код и натиснете Validate. Накрая изтеглете или отпечатайте 12-те резервни кода.

**Има ли SSL сертификат онлайн магазинът в CloudCart?**

Да. Адресът в cloudcart.net има сертификат от първия ден. За своя домейн инсталирате сертификат от Let's Encrypt в Настройки → Домейни → SSL → Automatic install и той се подновява сам 25 дни преди изтичане. Свой сертификат от друг доставчик качвате от раздела Manual install.

**Как давам достъп на служител до админа на магазина?**

Като собственик отворете Настройки → Персонал → Add moderator, потвърдете с 2FA код и попълнете профила. В Access permissions отметнете само секциите, с които служителят работи, например Orders и Products за склада. Броят на акаунтите е 1, 3, 5 или 10 според плана.

**Какво правя, ако загубя телефона с Google Authenticator?**

На екрана за проверка натиснете „Use a restore code instead“ и въведете един от резервните кодове. Всеки код работи веднъж. Ако нямате и кодовете, пишете на support@cloudcart.com: поддръжката изключва 2FA след проверка на самоличността.

**Може ли собственикът да задължи всички служители да ползват 2FA?**

Не. В CloudCart двуфакторната автентикация с приложение се настройва от всеки служител за собствения му акаунт. Без приложение всеки служител получава код по имейл при защитените действия, като добавянето на модератор. Поискайте от екипа да настрои приложението в първия работен ден.

**Защо не получавам кода за вход по имейл?**

Проверете папката със спам: кодът е валиден 60 минути. Ако вече сте настроили приложение за кодове, CloudCart не праща код по имейл и важи само кодът от телефона. Най-трайното решение е приложението, защото то не зависи от пощата.

**Каква е разликата между 2FA и MFA?**

MFA (многофакторна автентикация) е вход с два или повече фактора от различен вид, а 2FA е случаят с точно два: обикновено парола и код от телефона. В CloudCart вторият фактор е код от приложение, код по имейл или резервен код. За админа на магазин 2FA с приложение е достатъчната и препоръчана защита.

**Безопасно ли е AI агент да управлява онлайн магазина?**

Да, когато работи с PAT токен с ограничени права. Собственикът избира за всеки ресурс None, Read или Read & Write, добавя срок и до 20 IP адреса, а изтриването на токена спира достъпа веднага. Агент за продуктите и блога може да работи, без да вижда нито един клиент.