Um marketplace fiável: alojamento, backups e segurança

Um marketplace que cai num sábado à noite perde as reservas do fim de semana, e um pouco da confiança dos seus vendedores. A estabilidade escolhe-se antes da abertura: quem aloja o site, quem o atualiza, onde estão os dados, quem recebe o dinheiro, o que leva consigo se um dia sair. Este guia da equipa da Marketplace Factory, que cria marketplaces completos a partir de uma frase e os aloja para os seus clientes, passa em revista o que faz cair um marketplace, as cinco garantias a exigir de qualquer ferramenta, o que asseguramos, o que fica do seu lado e a forma de sair com tudo.

O que faz cair um marketplace

As avarias espetaculares são raras. O que faz cair um marketplace são, quase sempre, coisas simples que ninguém tinha a cargo vigiar:

1. Uma atualização esquecida. Um site montado a partir de um CMS, de um tema e de extensões tem de seguir as correções de cada um; uma extensão abandonada, ou uma atualização que estraga outra, chega para bloquear os pagamentos.
2. Uma conta de administrador roubada. Uma palavra-passe reutilizada noutro lado, nenhuma autenticação de dois fatores, e alguém publica, apaga ou altera em seu lugar.
3. Dados perdidos sem cópia utilizável. Um engano, uma base danificada, e a última cópia de segurança tem um mês, ou nunca foi testada.
4. O dinheiro que circula mal. Receber por conta dos seus vendedores na sua própria conta bancária fá-lo entrar nos serviços de pagamento, reservados a instituições autorizadas; o nosso guia sobre pagamentos num marketplace explica como o evitar.
5. Um pico de tráfego. Uma passagem na televisão, uma campanha bem-sucedida, e um alojamento apertado cede no pior momento.
6. Uma pessoa-chave que se vai embora. O programador que tinha os acessos, o domínio registado em nome dele, a única cópia do código no computador dele.

Nenhuma destas avarias é uma fatalidade. Cada uma previne-se com uma pergunta feita antes de escolher a ferramenta.

As cinco garantias a exigir de qualquer ferramenta

Antes de escolher um software, um alojamento ou uma agência, faça estas cinco perguntas. As respostas devem estar escritas, num contrato ou numa página pública, não só prometidas ao telefone.

1. Quem aloja, e quem mantém?

O site deve ser alojado e atualizado por alguém cujo ofício é esse, com um prazo de resposta escrito em caso de problema. Desconfie das «atualizações incluídas» que se resumem a um pacote de horas: pergunte quem aplica uma correção de segurança, e em quanto tempo.

2. Onde estão os dados, e com quem?

Os seus dados e os dos seus utilizadores devem ficar num quadro que consiga explicar: alojamento na União Europeia, subcontratantes nomeados, transferências para fora da União enquadradas. No sentido do RGPD, é o responsável pelo tratamento dos dados dos seus utilizadores e o fornecedor da sua ferramenta é o seu subcontratante: os compromissos dele e a lista dos seus próprios subcontratantes devem estar escritos. Em Portugal, a autoridade de controlo é a CNPD, que publica as suas orientações e recomendações. O resto das suas obrigações está no nosso guia das obrigações legais de um marketplace.

3. As cópias de segurança: com que frequência, durante quanto tempo?

O RGPD pede medidas técnicas que assegurem a capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico (art. 32.º); e uma violação de dados notifica-se à autoridade, em regra, em 72 horas (art. 33.º). Pergunte a frequência das cópias, o tempo de conservação e a forma de restaurar: uma cópia que não se sabe restaurar não protege de nada.

4. Os acessos estão protegidos?

Autenticação de dois fatores para os administradores, perfis distintos entre quem administra e quem modera, segredos cifrados. Uma palavra-passe sozinha, por mais longa que seja, pode ser roubada; um segundo fator torna esse roubo muito mais difícil de aproveitar.

5. Quem recebe o dinheiro?

O dinheiro dos seus compradores deve passar por um prestador de pagamentos autorizado, numa conta em seu nome, nunca na do fornecedor do seu software. E os números de cartão nunca devem passar pelo seu site. O Stripe, por exemplo, tem a certificação PCI Service Provider Level 1, o nível de certificação mais exigente do setor dos pagamentos; num marketplace criado com a Marketplace Factory, o cartão introduz-se na página segura do Stripe, e nenhum dado de cartão passa pelo seu site.

O que a Marketplace Factory assegura

O alojamento e a manutenção

O seu marketplace é alojado e mantido por nós: nada para instalar, nada para atualizar, nenhuma linha de código. A sua informação legal indica, aliás, a Marketplace Factory como prestador de alojamento. O apoio responde por ticket a partir da sua conta, em 48 horas úteis no Lançamento e no Pro; no Dedicado, por WhatsApp e por ticket, 7 dias por semana, das 9 h às 20 h, com uma primeira resposta em 4 horas dentro desse horário.

Dados na Europa, subcontratantes nomeados

A API, a base de dados e os ficheiros correm na Amazon Web Services, em Estocolmo; a aplicação é servida pela Vercel, com as suas funções em Estocolmo. Os pagamentos passam pelo Stripe, os e-mails pela Brevo, a inteligência artificial pela Anthropic e pela Google, que só recebem o que a tarefa pede, nunca os seus dados de conta nem de pagamento. Cada subcontratante, o seu papel e o seu local de tratamento estão na nossa política de privacidade, com as nossas medidas de segurança: comunicações cifradas, palavras-passe cifradas de forma irreversível, dados de cada marketplace isolados, acessos restritos e registados.

Cópias de segurança todos os dias

Os seus dados são copiados automaticamente, todos os dias. A política de privacidade dá o detalhe: as cópias da base de dados ficam guardadas trinta dias, com restauro possível ao minuto, e depois são apagadas; uma foto apagada continua recuperável durante trinta dias.

Acessos protegidos, uma chave Stripe cifrada

• A autenticação de dois fatores para cada administrador: uma vez ativada, o back-office fica fechado sem o código.
• Uma equipa com perfis: administradores e moderadores convidados, cada um com o seu papel; 2 administradores incluídos no Lançamento, 10 no Pro.
• A sua chave Stripe cifrada logo que a recebemos: só voltamos a mostrar os quatro últimos caracteres, só o titular da conta a pode ligar ou mudar, e o ecrã recusa mais de cinco tentativas de chave por hora, para nunca servir para testar chaves roubadas.
• Desligar sem deixar rasto: se desligar o Stripe, a chave é apagada, nada nosso fica na sua conta Stripe, e o seu site passa ao modo pedido.

O dinheiro no seu Stripe, nunca connosco

Os pagamentos entram na sua própria conta Stripe, com o Stripe Connect: os seus vendedores ativam as transferências a partir do espaço deles, e a sua comissão, de 0 a 50 %, é cobrada automaticamente em cada pagamento. A Marketplace Factory nunca toca no dinheiro das suas vendas. A nossa parte, 2 % no Lançamento, 1,5 % no Pro, 1 % no Dedicado, só incide sobre o que os seus clientes pagam online; é-lhe faturada uma vez por mês, à parte, e nunca se soma ao preço pago pelos seus clientes. Num aluguer, numa estadia ou num serviço, o vendedor é pago depois do início ou do fim do serviço: se um cliente assinalar um problema antes dessa transferência, o dinheiro espera pela decisão da sua equipa.

O que inclui cada plano

O detalhe está na página de preços. Durante a beta, experimenta tudo sem pagar nada: os pagamentos funcionam em modo de teste.

O que fica do seu lado

Uma ferramenta sólida não protege de uma palavra-passe partilhada num post-it. Cinco gestos são seus:

1. Mantenha a lista da sua equipa atualizada. Convide só as pessoas úteis, dê a cada uma o perfil certo (moderar não é administrar), retire sem esperar o acesso de quem sai.
2. Ative a autenticação de dois fatores na sua conta, e peça a cada administrador que ative a sua.
3. Escolha palavras-passe longas e únicas, guardadas num gestor de palavras-passe, e nunca a mesma em dois serviços.
4. Proteja a sua conta Stripe como uma conta bancária. O Stripe propõe várias formas de autenticação de dois fatores e recomenda as chaves de acesso (passkeys) ou as chaves de segurança físicas, porque resistem ao phishing.
5. Mantenha o controlo do seu domínio, se ligar um a partir do Pro: registado em nome da sua empresa, com renovação automática no seu registador.

Um hábito a mais: exporte os seus dados uma vez por mês e guarde o arquivo com os seus documentos contabilísticos. Não deverá precisar dele; no dia em que precisar, estará lá.

A reversibilidade: sair com tudo

Um marketplace sólido é também um marketplace de que se pode sair. Na Marketplace Factory:

• Os seus dados são seus. «Exportar os meus dados» entrega-lhe os anúncios, as encomendas, os clientes, os pagamentos e as mensagens em tabelas que se abrem no Excel, e as fotos num arquivo, em qualquer plano e quando quiser.
• Sair não o faz refém. O Lançamento e o Pro ao mês rescindem-se a qualquer momento, com efeito no fim do mês pago; o seu marketplace sai então do ar, e a exportação continua disponível trinta dias.
• A pausa em vez do fecho. Para uma atividade sazonal, com uma assinatura mensal, a pausa custa 29 € por mês sem IVA, seis meses por ano no máximo: o site mostra uma mensagem de regresso, os seus dados, as suas fotos e o seu domínio ficam guardados, e reabre com um clique.
• O código-fonte, a um preço conhecido de antemão. Se um dia quiser ficar com o código do seu marketplace, com as funções do seu setor, sem o estúdio nem o gerador, o preço é de trinta e seis meses de Dedicado, pagos adiantado, com uma manutenção opcional a 20 % desse preço por ano.

Para comparar, um marketplace montado em WordPress deixa-lhe o código, mas também o alojamento, as atualizações, as cópias de segurança e a segurança. Um desenvolvimento à medida deixa-lhe tudo, incluindo a manutenção de cada linha. A comparação completa das soluções está na nossa comparação de software de marketplace.

Em resumo

Um marketplace que se aguenta é, antes de mais, um marketplace de que alguém trata todos os dias. Com a Marketplace Factory, o alojamento, a manutenção, as cópias de segurança e a proteção dos acessos são o nosso ofício; o dinheiro fica na sua conta Stripe, os seus dados na Europa, e a porta de saída continua aberta. O seu tempo vai para o que dá vida a um marketplace: os seus vendedores e os seus clientes. Para as regras que os seus utilizadores aceitam ao registar-se, leia o nosso guia dos termos e condições de um marketplace.