Jeden adres do zapamiętania: panel pod domeną Twojej strony

Rozmowa, która powtarza się przy każdym wdrożeniu. Klient albo pracownik pyta: „to gdzie ja mam się logować?". Odpowiedź brzmi: na stronie platformy, nie na swojej. Dla nas oczywiste, dla niego o jeden adres za dużo. Tydzień później przychodzi wiadomość „nie mogę wejść w edycję", a w niej zrzut z wpisanym adresem własnej strony.

Uznaliśmy, że to nasz problem, nie jego. Od teraz panel otwiera się również pod adresem prowadzonej witryny:

twojafirma.pl/logowanie

Po zalogowaniu jesteś w tym samym panelu co zawsze: te same podstrony, ta sama skrzynka zgłoszeń, te same ustawienia. Zmienia się wyłącznie adres, pod którym do niego wchodzisz.

Warto od razu wyjaśnić jedno nieporozumienie, bo pojawia się natychmiast: logowanie pod domeną klienta nie zawęża panelu do tej jednej strony. Jeśli prowadzisz pięć witryn, po zalogowaniu na twojafirma.pl/logowanie masz w wyborze strony wszystkie pięć. Adres jest tylko drzwiami, a nie filtrem. Zakres widoku wynika z konta i z roli: osoba, która ma udostępnioną jedną stronę, zobaczy jedną stronę niezależnie od tego, pod jakim adresem się zalogowała.

Które adresy przejmuje panel

Pod adresem witryny panelem są: /logowanie i /login, /builder, /dashboard, /account, /profile, /logout, ekrany hasła (/forgot-password, /reset-password, /confirm-password) oraz potwierdzenie adresu e-mail. Wszystkie pozostałe adresy należą do Twojej strony i działają bez zmian.

Jest jeden skutek uboczny i lepiej wiedzieć o nim wcześniej: podstrona o adresie /logowanie albo /account się nie wyświetli, bo pierwszeństwo ma panel. W praktyce to rzadkie, bo firmy nie mają na stronie podstrony „logowanie", ale gdy prowadzisz serwis z panelem klienta, wybierz inny adres, na przykład /strefa-klienta.

Lista jest celowo krótka i trzyma się adresów panelu, a nie słów, które mogłyby się trafić w treści. Gdybyśmy dopisali do niej /kontakt albo /oferta, zabralibyśmy komuś podstronę.

Adresy panelu nie mają wersji językowych. Jeśli Twoja strona ma wersję niemiecką pod /de, to twojafirma.pl/de/logowanie nie jest panelem, tylko zwykłym adresem strony, który odpowie błędem 404, dopóki nie stworzysz tam podstrony. Logowanie jest zawsze w wersji podstawowej, bez przedrostka języka.

Wejście na adres panelu bez zalogowania, na przykład wprost na /builder, kończy się przekierowaniem na formularz logowania pod tą samą domeną. Nie trafisz przypadkiem na adres platformy w połowie drogi.

Czego pod Twoją domeną nie ma

Trzy rzeczy zostają wyłącznie na adresie platformy i to też jest decyzja, nie niedoróbka:

• Rejestracja. Konto zakłada się raz, na kompasfirm.pl, i obsługuje nim wszystkie swoje strony. Formularz rejestracji pod każdą domeną klienta byłby zaproszeniem dla botów, a przy okazji sugerowałby, że zakładasz konto „w tej firmie".
• Logowanie przez Google. Adres powrotny logowania Google jest zapisany dla jednej domeny, naszej. Konto założone przez Google zaloguje się pod Twoją domeną hasłem, które ustawisz przez „Nie pamiętam hasła".
• Kreator nowej strony. Kolejne witryny zakłada się tam, gdzie jest konto.

Sesja jest osobna dla każdego adresu

To najważniejszy szczegół techniczny tej zmiany i jedyny, który daje się zauważyć w codziennej pracy. Zalogowanie na twojafirma.pl to inna sesja niż zalogowanie na kompasfirm.pl. Wylogowanie w jednym miejscu nie wylogowuje w drugim, a „zapamiętaj mnie" działa osobno dla każdego adresu.

Brzmi jak komplikacja, a jest zabezpieczeniem: sesja panelu nie wycieka między domenami, więc zalogowanie się w panelu pod domeną klienta nie daje nikomu sesji na platformie ani na stronie innego klienta.

Z tego samego powodu ma znaczenie ustawienie wersji głównej domeny. Jeśli w panelu wybrałeś wariant z www albo bez www, wejście pod wersję przeciwną przekierowuje na wybraną, zanim logowanie w ogóle się zacznie. Bez tego dałoby się wylądować z sesją na www.twojafirma.pl i drugą na twojafirma.pl, czyli w klasycznym „przecież się logowałem".

Dlaczego to jest funkcja dla agencji

Jeśli prowadzisz strony klientów, ta zmiana domyka obietnicę, którą zaczyna white label. Dotąd wyglądało to tak: panel w Twojej marce, ale pod naszym adresem. Teraz link, który wysyłasz klientowi, może być w jego własnej domenie, a to, co zobaczy po zalogowaniu, nosi Twoją nazwę i Twój kolor.

Trzy praktyczne zastosowania:

1. Klient w roli podglądu. Wysyłasz mu domenaklienta.pl/logowanie i jedno zdanie instrukcji. Nie musi kojarzyć żadnej trzeciej firmy.
2. Copywriter albo handlowiec z udostępnieniem. Osoba pracuje przy jednej stronie, więc wchodzi tam, gdzie ta strona jest. O rolach pisaliśmy we wpisie o udostępnianiu strony.
3. Przekazanie strony klientowi. Gdy współpraca się kończy, adres panelu się nie zmienia, bo od początku był w jego domenie.

Czy to nie jest luka w bezpieczeństwie

Najczęstsza obawa brzmi: „skoro pod moim adresem jest teraz logowanie, to ktoś może się włamać". Adres nikomu nie daje dostępu. Wejście do panelu wymaga konta i hasła dokładnie tak samo jak wcześniej, a formularz jest ten sam: po pięciu nieudanych próbach logowania z tego samego miejsca kolejne są blokowane na jakiś czas, więc zgadywanie hasła po kolei nie ma sensu. Nie zmieniło się też to, że nie zakładamy kont pod domenami klientów, więc nie ma tam formularza rejestracji do zasypania.

Warto też pamiętać, że pukanie do paneli logowania trwa nieprzerwanie, niezależnie od tego, czy panel istnieje. Z naszego pomiaru ruchu wynika, że najczęściej odpytywane adresy na stronach firmowych to /wp-login.php, /.env i /.git/config, czyli poszukiwanie cudzych paneli i plików konfiguracyjnych. Pisaliśmy o tym we wpisie o tym, ile ruchu na stronie firmowej to boty. Adresy panelu nie trafiają do mapy witryny ani do menu, więc dla robota są tym samym, czym były wczoraj: jednym z tysięcy sprawdzanych adresów, za którym stoi hasło.

Najczęstsze pytania

Czy to działa na adresie technicznym, przed podpięciem domeny? Tak. twojafirma.kompasfirm.pl/logowanie działa tak samo jak docelowa domena.

Czy działa na domenie podpiętej w trybie proxy? Tak, o ile Twój serwer przekazuje te adresy dalej razem z nagłówkami. W tym trybie ruch idzie przez Twój hosting, więc rozstrzyga jego konfiguracja. O samym trybie pisaliśmy we wpisie o domenie zostającej na własnym hostingu.

Czy mogę to wyłączyć? Nie ma takiego przełącznika. Gdyby był, wracalibyśmy do pytania „to gdzie ja mam się logować", tyle że dla części stron.

Czy odwiedzający zobaczy, że mam tam panel? Tylko jeśli sam wpisze adres /logowanie. Strona publiczna niczego nie linkuje i nie zdradza.

Mam konto bez adresu e-mail, jak odzyskam hasło? Takie konta hasło zmieniają w panelu, w Koncie, a przy zapomnianym haśle ustawiamy je na prośbę. Opisujemy to w tekście o dostępie dla współpracownika bez adresu e-mail.