店铺出问题，不一定先出在商品和广告上。更常见的是：有人离职后子账号还在、旧电脑没退出、令牌过期当天正好大促、权限一开始为了省事全部勾满。HelloWorld跨境电商助手把多个平台收进同一套登录，访问面比单个后台更大，安全管理就不能只在出事以后改密码。下面按会实际发生的事件写：授权怎么收、设备怎么认、人员怎么进怎么出、令牌怎么续，以及哪些“图方便”的做法必须当成事故预防而不是个人习惯。
授权只开当前真正在用的能力，并把“谁批准开权限”写成和改价一样重的事
绑定亚马逊、eBay、Shopee等店铺时，平台会给出一长串权限。图省事全选，后面所有模块都顺，出了事影响面也最大。最小必要原则说起来空，落地时可以变成一张对照表：现在要用商品刊登，就开商品相关；现在要用统一收件箱，就开消息相关；现在还没有把广告接到软件里，就不开广告相关。对照表贴在平台管理页的内部说明里，新增权限必须能指出将要启用的具体模块，不能写“以后可能用到”。
新开权限和新开店铺一样，需要双人确认。一个人在平台后台操作，一个人在软件里验收调用是否成功、多出来的数据范围是否符合预期。验收看两样：该看到的订单或商品是否出现，不该看到的其他店铺或历史敏感导出是否被意外打开。第二样常被忽略。工具能看见的东西多了，并不自动等于应当看见。
授权完成后立刻做一次失败观察。故意用一个权限不足的动作试探，例如尚未开放刊登的店铺去推送草稿，看软件是明确报权限不足，还是把失败吞掉。报得清楚，以后排障快；吞掉的话，团队会在错误的方向上改商品字段。观察记录留下，下一次加权限时按同一方法验收，不要每次凭记忆。
令牌和登录视为会过期的存货，不要视为一次绑定终身有效
刷新令牌、授权码、登录会话都会过期，只是日期不同。把它们当成会过期的存货来管，比当成设置项来管更准确。存货要有到期提醒，要有安全库存，要有专人补货。在软件里把到期提醒提前到七天，提醒推到两个不在同一班次的人，避免唯一知道怎么续的人那天正好不在。
续的过程写短。谁去平台后台操作，谁在软件里粘贴并验证，谁确认同步恢复。三步不要由同一人在同一台临时电脑上做完，尤其不要在公共网络上做完。续完后看最近一次成功拉取时间是否更新，再看一条测试SKU的库存能否正常往返。只看“授权状态显示正常”不够，显示正常和真正能写回有时不是同一件事。
令牌存放位置也要规定。不能出现在聊天记录、邮件正文、桌面截图和共享表格里。需要交接时，用当时有效的后台流程重新生成，而不是把旧字符串转发给下一个人。转发过的令牌，视为可能已经暴露，按计划替换。替换成本远低于事后解释为什么店铺在未通知的情况下被第三方调用。
子账号按岗位开，不按亲疏开，并且默认比想象中更窄
主账号只用于添加店铺、变更授权、管理角色，不用于日常打单和回消息。日常全部走子账号。子账号的宽度按岗位来：仓库不需要看见客户全文以外的补偿权限，客服不需要全店改价，运营不需要删除店铺，财务可以只读订单和费用。新人更窄，熟练以后只加一档，不加到“和店长一样”。
亲疏是权限膨胀的主要原因。熟人帮忙看两天店，就被开成接近管理员。两天结束后权限还在，三个月后才在一次误删里被想起。所以任何临时协助都必须写结束日期。日期到了自动降权或关闭，比靠人记得收回更可靠。软件如果不能自动到期，就把日期写进日历和周会待办，到期没关视为漏项，不是小事。
一个真实的人对应一个子账号，禁止共用。共用看起来少占席位，出事以后日志里只有那个被共用的名字。日志若指不到人，所有安全规定都只是墙上的字。外包、兼职、临时客服尤其不能借用内部账号。单独开、单独关、只给指定店铺的指定队列，结束后立刻停。
设备白名单比再强调一次“注意网络安全”有用
能改库存、能发消息、能打单的账号，只允许在已知设备上长期登录。新设备第一次登录必须让拥有主账号或安全角色的人确认。确认前，这个设备只能看不能改，或者干脆不能进。听起来麻烦，比起在不明设备上完成一次全店改价，麻烦非常便宜。
丢失手机和更换电脑按同一套短流程走：先在软件里下线该设备或修改密码，再处理新设备登录，最后检查近期操作日志里有没有在丢失期间发生的写回。不要先忙着把新手机装好常用App，再想起来旧设备可能还挂着登录。顺序反了，窗口期就留给了不该还在线的那一台。
公共电脑和家庭共用电脑默认不作为写权限设备。必须使用时，用完即退，不保存验证码，不开“记住登录”。值班用的手机数量限制在明确的一两台。设备越少，收回越快。设备越多，安全规定就越会变成无法执行的愿望。
人员入职和离职当成授权事件，而不是当成人事手续的附属品
入职当天先开最低权限子账号，再给练习分组，再在考核通过后加一档。这个顺序在带教里已经重要，在安全里同样重要。反过来，先开和店长几乎相同的权限再慢慢教，等于把练习场直接设在正式货盘上。
离职或调岗从决定生效的那一天开始算，而不是从工作交接结束那天开始算。先关写权限，再交接未完成单据，再关闭登录。很多人习惯先交接再关账号，让离职者把最后几天单子处理完。这几天里账号仍能改价、导出、回消息。真正必须由原负责人处理的，改为在他人账号上协助指认，而不是继续保留原账号的完整能力。
调岗也要降权，不是只加新权。从客服转到仓库，消息发送权要收；从运营转到只做内容，库存回写权要收。只加不收，几个月后每个老员工都接近管理员。全员管理员的店，没有办法做有效日志追责，也没有办法在出事时缩小范围。
操作日志不是给检查看的，是给第二天早上用的
日志要在两种时刻被打开。一种是出现异常改价、异常下架、异常导出之后，立刻按时间和账号把动作还原。一种是每周固定看一次高风险动作清单：谁改过授权，谁开过批量，谁导出过客户，谁关过同步。第二种比第一种更少见，也更有用。它能在事故前发现权限已经悄悄变宽。
日志看不懂等于没有。新同事入职第一周就应被带着看一次真实日志，知道改库存、发消息、改权限在记录里长什么样。看过的人才会在自己下手前多停一秒。从未看过日志的团队，会把安全当成口号，把方便当成默认。
发现异常不要先在群里辩论动机。先停相关账号的写权限，再核对平台侧是否已经发生同样变化，再决定是误操作、是规则缺陷，还是外部登录。辩论动机可以在范围被控制以后进行。范围不控制，辩论只是把时间留给可能还在继续的那次访问。
图方便的做法里，有几条必须直接写成禁止
把主账号密码发给“先顶一下”的人。把令牌发进群。为了省事给所有子账号开导出全部客户。在个人网盘里保存带授权信息的截图。关闭二次确认以便夜间打单更快。用同一邮箱无限注册测试店并把它们全部绑进正式工作区。这些做法每一次都能省几分钟，下一次可能用几周去收场。禁止写进岗位说明，违反按事故记，不按性格记。
测试店和正式店必须分开工作区或至少分开标签与权限。测试授权、测试刊登、测试自动回复，都可能产生真实写回。写回进了正式店，再解释“那是测试”，平台和买家都不会接受这个解释。能分开的尽早分开，分不开就不要在正式授权上做试验。
安全工作做对的样子，是变化发生时店还能继续卖，只是某一扇门被及时关上
HelloWorld跨境电商助手把多平台操作集中以后，效率来自集中，风险也来自集中。集中不可怕，可怕的是集中之后仍按单店、单人、单台电脑的老习惯去管钥匙。把权限当存货来续，把设备当会丢失的东西来认，把人员变动当授权事件来办，把日志当第二天要用的工具来看，钥匙才能和货盘一样被盘点。盘点过的店，不一定永远不出事，但出事时知道先关哪一扇门。不知道关哪一扇门的店，工具越强，窗口越大。把窗口留小，一站式管理才值得继续用下去。
