TL;DR：Shopify 员工账号登录 IP 不是单独设置一个地址就完事。正确做法是「一人一账号、按角色给权限、固定设备与地区、每周看活动记录」。主账号只做付款、应用和员工管理。
先把角色分清楚了吗？
独立站后台出事，很多时候不是黑客进来了，而是权限给得太顺手。VA 改错折扣、agency 装了不该装的应用、开发者误动主题代码，最后都算店主的账。先把团队拆成四类：
| 角色 | 应给权限 | 不该给 |
|---|---|---|
| 客服 VA | 订单、客户、退款备注 | 付款、应用、主题代码 |
| 商品运营 | 商品、库存、折扣 | 员工管理、付款 |
| 广告 agency | 分析、折扣、像素相关协作 | 财务、收款账户 |
| 开发者 | 主题、应用配置 | 客户导出、付款设置 |
登录 IP 台账怎么建？
建一张内部表，不需要复杂系统，Google Sheet 就够：
| 字段 | 示例 | 负责人 |
|---|---|---|
| 员工账号 | [email protected] | 店主 |
| 角色 | 客服 VA | 运营主管 |
| 常用地区 | 菲律宾马尼拉 | 员工本人 |
| 设备 | Windows 笔记本 | 员工本人 |
| 允许操作 | 查订单、发退款建议 | 主管 |
| 复核频率 | 每周五 | 店主 |
重点不是追求永远同一个城市，而是让后台活动有解释。一个客服账号长期在马尼拉工作，偶尔到宿务出差，风险远小于同一天在三个国家连续登录。
Staff account 创建步骤是什么？
- 店主进入 Shopify Admin。
- 打开 Settings → Users and permissions。
- 邀请员工邮箱，要求使用企业邮箱或长期固定邮箱。
- 勾选最低权限，不确定就先少给。
- 要求员工启用 two-step authentication。
- 首次登录后，让员工截图确认能完成工作。
开发者或 agency 只在项目期需要权限时，建议写明结束日期。项目结束后立即移除，别让旧服务商长期挂在后台。
哪些操作必须二次确认？
这些动作建议由店主或主管执行，不交给普通员工：
- 修改付款账户、税务资料、公司地址；
- 安装新的支付、追踪、邮件类应用；
- 导出客户邮箱和订单明细；
- 修改主题结账相关代码；
- 新增或删除员工账号；
- 大规模改价、改运费模板。
地区一致性怎么落地？
固定三件事：设备、浏览器、出口地区。团队可以正常跨国协作，但每个员工最好有自己的操作边界。客服负责订单就一直用客服账号；投手看报表就用投手账号；开发者改主题就用开发者账号。
跨境团队常用做法是：核心后台由店主和主管固定登录，外包员工只走员工账号。需要长期远程协作时，可以把店铺后台和广告后台都纳入同一张登录台账，并为关键岗位配置静态原生 IP + 真实 ISP，目的是让团队操作更连续，而不是用来掩盖权限混乱。
每周审计看什么？
每周花 15 分钟看活动记录和应用列表：
- 是否有陌生员工账号；
- 是否有异常时间登录；
- 是否安装了未知应用；
- 是否导出客户或订单数据；
- 是否修改付款、域名、主题；
- 离职员工是否已移除。
发现异常时，先改相关员工密码和 2FA，再撤销权限，最后联系 Shopify Support。不要先删除所有记录，留证据更重要。