从账号混乱到有序：Shopify多店铺管理的分组、权限与隔离清单

5 个 Shopify 店铺、3 个运营、两台共用电脑。负责 B 店的人离职半个月后，接手的人才发现后台绑定的员工账号是离职者的私人邮箱——验证码收不到，应用授权列表里还挂着一个没人认识的插件。

根源不是店铺数量，而是登录环境、员工权限、数据流程三处变量被多个店铺共享。下面直接给三张可核对的清单：怎么分组、怎么授权、怎么隔离，以及配套的审计节奏。

先判断：混乱通常来自三个共享，而不是店太多

• 登录环境共享：同一台电脑、同一个浏览器、同一个网络出口跑多个店铺，Cookie、本地存储和浏览器参数会互相污染。你在 A 店留下的痕迹，可能出现在 B 店的环境里。
• 员工权限共享：所有人用店主账号登录，或一个员工账号挂在多个店铺上。分不清谁改过价格，离职时也回收不干净。
• 数据与流程共享：订单、客服话术、收款信息混在一处，交接靠口头。人一走，店铺归属就断线。

三层是串联的：权限没收住，环境隔离会被越权操作打穿；环境没收住，权限做得再细也挡不住误操作。具体到四层配置与最小授权，可按多店铺运营中账号隔离与团队协作的实操方案逐条对照。

分组：先按风险等级，再按品牌或市场

分组决定权限边界，也决定环境边界。只看“谁负责哪个店”来分组，会让权限和环境随着人员变动反复交叉。

落地顺序建议是：先按运营主体切一刀，再在主体内部按品牌或市场细分，最后把人作为“角色”而不是“分组”挂上去。员工离职时只需回收角色，不必重新划分店铺。批量操作与权限模板的组织方式，可参考账号矩阵管理的配置标准与协作权限设计。

权限：Shopify 员工账号与外部协作者的最小授权

Shopify 的员工账号支持按店铺单独分配权限，这是分权的基础。可分配的权限项以Shopify 官方帮助中心当前版本为准，以下给的是分配原则，不是后台功能复述。

• 店主账号：不做日常运营。只保留账单、权限授予、应用安装审批三件事，强制两步验证，只放在 1 至 2 人手里。
• 运营：给订单处理、商品读写、库存调整；不给设置全量、不给收款与账单、不给应用安装。需要装插件走提报，由店主账号执行。
• 客服：订单只给查看与备注，退款按额度分级；客户数据只读或按需。不给商品删除权，也不给无上限的折扣创建权。
• 财务：账单、收款流水、报表查看即可，商品与订单编辑权限没必要开。
• 外部开发或营销协作者：单独建员工账号，权限只覆盖协作范围；域名、收款、设置一律不开，合作结束当天禁用。

三个容易被忽略的动作：全员强制两步验证；离职流程按“先禁用、再转移域名与收款归属、最后删除”执行；每季度清理一次应用授权，把不再使用的第三方应用解绑。

隔离：同一台电脑上哪些东西绝不能共享

• 浏览器指纹与设备参数：每个店铺一套独立环境配置，包括 User Agent、屏幕与时区、字体与 WebGL 等参数。两店共用一套浏览器配置，等于主动放弃隔离。选型与首次配置见环境隔离、代理配置和账号管理的配置方法。
• 代理与网络出口：一店一出口，出口地区要与店铺注册地和日常登录习惯一致。多个店铺共用一个 IP，或出口频繁跳变，都会形成可记录的行为特征。
• Cookie 与本地存储：每个环境独立保存 Cookie、localStorage、IndexedDB 与缓存。清 Cookie 只清掉一层，清不掉设备参数。
• 登录行为节奏：不要用脚本在几分钟内依次登录全部店铺，错开时间、保持自然操作间隔。
• 恢复信息与收款信息：每个店铺独立的邮箱、手机号、验证载体；收款账户按主体与平台要求配置，不要用一套信息贯穿所有店铺。

关于“清 Cookie 够不够”：不够。Cookie 只是身份层的一部分，设备参数、网络出口、本地存储是另外几层，原理边界在指纹浏览器的识别原理与隔离边界里有逐层说明。

从清单到执行：每周 10 分钟、每月 30 分钟的审计节奏

1. 每周：拉一次各店铺登录记录，确认没有跨环境登录——用 A 店环境登 B 店后台是最常见的破口。
2. 每周：核对代理或网络出口有没有复用，新加店铺时尤其要查。
3. 每周：记录本周新增或变更的员工权限、应用授权。
4. 每月：把员工权限清单和实际角色对一遍，删掉不再需要的权限。
5. 每月：清理应用授权，检查两步验证覆盖率。
6. 每月：检查离职交接状态，确认没有账号仍绑定离职者的邮箱或手机。

发现异常时先隔离再排查：把可疑店铺单独切到独立环境与出口，冻结批量改价、批量上架这类高风险动作，再回看登录记录与权限变更。先改密码不解决问题，环境层面的共享还在。店铺多开时的故障定位顺序，可参考多店铺运营最容易出问题的环节与应对方法。