多平台后台收进同一套软件之后，风险也收进了同一扇门。以前改错一个站点，影响面还限定在那个后台；现在一个主账号外借、一个子账号权限过宽、一次公共电脑忘退出，商品价格、库存规则、退款审批和自动回复会一起暴露。安全不是额外功能，是刊登、同步、客服还能不能继续被信任的前提。HelloWorld跨境电商助手把亚马逊、eBay、Shopee 的操作汇到一处，审计就必须能回答三句话：此刻谁登着、他能改什么、昨天夜里那条库存是谁改的。下面只写账号、权限回收、登录设备和操作日志这一条线。
主账号只做钥匙，不做日常工号
- 主账号只用于授权店铺、创建子账号、调整高风险权限、处理过期令牌。日常刊登、回消息、打单、改价全部用子账号。主账号挂在客服电脑上整天在线，等于把总钥匙插在门上。
- 主账号邮箱和手机号用公司可控的号码，不绑定个人即将离职的私人邮箱。验证码落到私人设备上，离职当天你无法完成重置。绑定完成后做一次恢复验证，确认能收到验证码，不要等到真丢了才发现收不到。
- 主账号密码与子账号密码分开，不写进共享表格的同一单元格里。需要交接时，只交接子账号或现场重置，不口头报主密码。
- 主账号开启登录保护。能开二次验证就开，能限制异常地点登录就限制。第一次在新设备登录要有人知情，而不是第二天才在日志里看见陌生地点。
主账号日常越少露面，出事时越容易判断范围。HelloWorld跨境电商助手里所有店铺授权都挂在主账号下，主账号被共用，审计会从第一句就断掉，因为「谁」变成了「大家」。
子账号按人发放，按事收回，禁止一个工号轮班传用
- 一人一号，姓名与岗位写进账号显示名。夜班客服、白班客服、仓库、运营、财务不要共用「客服」这一个登录名。共用工号的日志只能证明有人改过，不能证明是谁改过。
- 新员工第一天只给只读和一个练习分组，走完看单、看会话、看库存的路径，再打开写权限。第一周就给退款和改同步规则，误操作会落在主推款上。
- 转岗当天改权限，不要等下周例会。客服转运营，消息权限可留，退款上限和规则权要重评；仓库离职，当天停用打单与库存调整。停用先于交接茶话。
- 临时支援给限期授权。大促支援七天，到期自动收回或日历提醒收回。限期结束仍留着全店改价权，是最常见的「忙完忘了收」事故。
账号数量看起来变多，其实是把责任变清楚。人少时会嫌麻烦，人一多，麻烦会变成无法追责的损失。
设备与退出规则写死，公共屏幕当高风险场景
- 个人工位电脑登录本人子账号，离开锁屏。公共值班机只允许当班账号，交班先退出再登录。上一人仍挂着会话，下一人会用上一人的权限说话。
- 手机端只装在本人设备上，用本人子账号。离职或换机当天在电脑端退出全部移动端会话。手机丢了按事故处理：停用账号、重置密码、检查近几小时高风险日志。
- 禁止在网吧、借用电脑、投影演示时用主账号实操改价或退款。演示用只读或测试店。投影把屏幕给全屋看，等于把工单和买家地址给全屋看。
- 浏览器保存密码如果无法避免，至少不要保存主账号。公共浏览器的自动填充，是权限泄漏里最不像攻击的一种。
设备规则看起来像行政，不执行时，软件本身再安全也会被座位问题打败。
把高风险动作单独设门槛，日志才有东西可审
- 下列动作默认不给一线：修改库存同步方向、修改安全阈值、全店或大分组改价、开关自动回复总闸、把残次打回可售、大额退款、解除超卖防护、解绑店铺、导出全量客户与成本。需要做时走审批或主管账号。
- 有金额、有件数的动作写上限。超过上限必须另一人确认。确认记录留在工单里，不要只留在即时通讯软件里。
- 批量操作必须能预览名单。看不到名单的批量，等同于盲改。盲改后的日志即使完整，也只能告诉你错了多少条，不能阻止提交。
- 测试店与正式店分开。新规则先在测试SKU或测试分组生效，再打开正式范围。把正式店当试验场，审计只能做事后讣告。
门槛不是不信任员工，是承认人会点错。HelloWorld跨境电商助手能把三个平台的开关放在同一页，点错的半径因此更大，门槛就要比单后台更高，而不是更低。
每天看的日志不是全部记录，而是一张短清单
- 登录异常：新设备、异常时段、短时间多次失败后成功。失败多次随后成功，可能是本人忘密码，也可能是在试。先联系本人确认。
- 权限变更：谁给谁加了退款、加了改价、加了规则权。授权日志比改价日志更优先，因为权限一开，后面的改价会变得「合法」。
- 库存与价格：安全库存、同步开关、大分组改价、活动价恢复失败。对照是否有对应的改价单或活动单，没有单据的改动当天回滚。
- 资金与库存高风险：退款、补发、残次回库、防护解除。件数或金额异常的，抽出原单看审批链是否完整。
周度再看离职未停用、限期授权过期未收、长期不用却仍在线的账号。账号越积越多，最后没人认得每一个工号是谁。审计的目标是让异常变短、变可解释，不是把所有点击都读一遍。
出事时按缩小范围处理，不要第一时间重装软件
- 怀疑账号泄漏，先停用相关子账号或退出全端登录，再改密码，再重授必要的店铺令牌。顺序反了，泄漏中的会话仍可能继续写。
- 立刻导出或筛选近几小时的高风险日志：改价、改库存、退款、规则开关、导出。能回滚的回滚，不能回滚的改前台并通知仓库停止按错误数字发货。
- 平台侧同步若已被错误规则改过，先暂停同步，避免助手和平台互相用错误值覆盖。修好规则和数字再开。
- 复盘只问四个问题：门是怎么开的、哪一条权限过大、哪一条日志应当天被看到却没看、下一条规则怎么改。复盘结果要改系统，只开会等于没发生。
安全模块不产生订单，但能阻止错误订单以合法权限跑完。把主账号藏好，把子账号按人发按事收，把高风险动作加上门槛和单据，把每天要看的日志缩成短清单，HelloWorld跨境电商助手里的一站式才不会变成一站式事故。登录是身份，权限是半径，日志是记忆。三样齐了，改错还能回放；缺一样，三个平台会一起记住那个错误数字。
