Corthex · WooCommerce / Kundenidentität
Wessen Bestellung darf der Chatbot sehen?
Eine Antwort zum Bestellstatus beginnt mit der Kundenidentität und danach mit der Shopverbindung. Eine Bestellnummer zu kennen bedeutet nicht, sie einsehen zu dürfen.
Berechtigungsdiagramm · Fiktives Beispiel
Nutzen Sie bei aktiver Anbindung und aktivierten Werkzeugen den verifizierten Kundenkontext zur Bestellabfrage. Die tatsächliche Shopantwort bestimmt, was beantwortet werden kann.
Ein Kundenkonto setzt eine Zugriffsgrenze und dient nicht nur der Begrüßung.
Die Frage eines Käufers nach seiner Bestellung stellt zwei getrennte Aufgaben. Klären Sie zuerst, welchen Kunden der Shop tatsächlich authentifiziert hat. Fragen Sie danach nur die Informationen ab, die diesem Kunden gehören. Die Chatnachricht belegt keine Eigentümerschaft: Jemand kann eine bekannte E-Mail-Adresse eingeben oder eine Nummer vom Beleg kopieren. Nutzen Sie diese Angaben erst als Suchkontext, nachdem der Shop die erforderliche verifizierte Identität geliefert hat.
Die nativen WooCommerce-Werkzeuge von Corthex für eigene Bestellungen nutzen den verifizierten angemeldeten Shopkunden. Diese Identität unterscheidet sich vom Corthex-Administratorkonto, einem optionalen Kontaktformular und dem Besuchergesprächsverlauf. Ein Widget auf der Seite macht nichts davon zu einer Kundensitzung. Testen Sie das Kundenkonto im Shop, in dem das Widget läuft, statt sich auf die Dashboardvorschau eines Administrators zu verlassen.
Vier Bedingungen müssen im selben Shop erfüllt sein.
Installieren und aktivieren Sie das Plugin Corthex AI bei aktivem WooCommerce. Wählen Sie in WordPress „Mit Corthex verbinden“, den vorgesehenen Assistenten und bestätigen Sie die Kopplung. Aktivieren Sie dessen relevante Shopwerkzeuge. Öffnen Sie abschließend den Shop als angemeldeter Kunde, dessen Konto die Testbestellung gehört. Eine funktionierende allgemeine Chatantwort belegt die Antwortfähigkeit des Assistenten, allein aber nichts über diese vierteilige Kette.
Das Plugin koppelt sich mit einem eingeschränkten Connectortoken; für diesen Weg ist kein manuell erstellter WooCommerce-REST-API-Schlüssel nötig. Bei neuen WordPress-Plugininstallationen ist die vollständige Profilfreigabe angemeldeter Kunden eingeschaltet und kann deaktiviert werden; bestehende Einstellungen bleiben erhalten. Die Einstellung gewährt Gästen keinen Bestellzugriff und ersetzt keine verifizierte Kundenidentität. Nutzen Sie nur die allgemeine JavaScript-Einbettung, prüfen Sie zuerst, ob die native Anbindung oder eine gezielt entwickelte eigene Integration benötigt wird.
Halten Sie beim Test mehrerer Shops oder Umgebungen die Zuordnung von Assistent und Shop ausdrücklich fest. Ein Testshop mit einem Assistenten und ein Produktionsgespräch unter einem anderen ergeben keinen sinnvollen Zugriffstest. Dokumentieren Sie Umgebung, Assistentenname, Pluginversion und Kundenrolle. Nutzen Sie fiktive Bestellungen und eigene Testkonten; Kundentranskripte und echte Lieferadressen sind als Belege unnötig.
Ein Bestellstatus ist keine Lieferzusage des Versanddienstleisters.
Trennen Sie drei Fragen: Hat der Shop die Bestellung angenommen, welchen Status hat sein Datensatz aktuell und wann kommt das Paket an? WooCommerce-Bestellstatus beschreiben den Bestellworkflow. „In Bearbeitung“ und „Abgeschlossen“ haben darin eine Bedeutung, liefern aber allein kein aktuelles Scanereignis des Versanddienstleisters oder einen Liefertermin. Zusätzliche Versanderweiterungen können Informationen ergänzen; deren Verfügbarkeit muss in Ihrer eigenen verbundenen Einrichtung geprüft werden.
Eine hilfreiche Antwort nennt die vom Shop tatsächlich gelieferten Angaben und erklärt, was unbekannt bleibt. Beispiel: Die fiktive Testbestellung wird bearbeitet; das verfügbare Ergebnis enthält kein Lieferdatum, deshalb kann der Assistent keine Ankunft für morgen bestätigen. Eine Versandrichtlinie kann übliche Lieferzeiten erklären, darf aber nicht als tatsächlicher Versandstatus der privaten Bestellung dargestellt werden. Fehlt die angefragte Information, bieten Sie den Supportweg des Shops an, ohne eine erfolgreiche Abfrage vorzutäuschen.
Wiederholbare Berechtigungsprüfungen
Die Ablehnung ebenso sorgfältig wie die Antwort testen.
Eigenes Konto, eigene Bestellung
Melden Sie sich als Testkunde A an. Fragen Sie den aktuellen Status seiner Testbestellung ab. Vergleichen Sie die Antwort mit Shopdatensatz und Werkzeugergebnis statt mit einem angenommenen Lieferdatum.
Bestanden: Nur der erlaubte Bestellkontext des Kunden wird verwendet. Fehlende Felder werden benannt. Halten Sie einen bereinigten Screenshot und den erwarteten Status fest.
Gast, der die Nummer kennt
Melden Sie sich ab oder nutzen Sie ein privates Browserfenster. Geben Sie dieselbe E-Mail-Adresse und Bestellnummer im Chat an. Diese Angaben dürfen die erforderliche Anmeldung nicht ersetzen.
Bestanden: Keine privaten Bestelldetails werden offengelegt. Besucher erhalten einen praktischen Anmelde- oder Supportweg, ohne Bestätigung, dass eine fremde Bestellung existiert.
Ein anderer angemeldeter Kunde
Melden Sie sich als Testkunde B an und fragen Sie As Bestellung ab. So prüfen Sie Eigentumszuordnung statt der viel schwächeren Bedingung, dass überhaupt jemand angemeldet ist.
Bestanden: Die Abfrage überschreitet die Kundengrenze nicht. Wiederholen Sie sie nach Abmeldung, Kontowechsel sowie Änderungen an Verbindung oder Sitzungsverarbeitung.
Legen Sie fest, was bei fehlendem Zugriff geschieht.
Auch eine sichere Ablehnung sollte dem Kunden einen nächsten Schritt ermöglichen. Erklären Sie, welches Shopkonto zu verwenden ist, verlinken Sie gegebenenfalls auf den normalen Kontobereich oder erläutern Sie den etablierten Prüfprozess des Supports. Fragen Sie niemals nach Passwörtern und kopieren Sie keine geheimen API-Zugangsdaten in den Chat. Verraten Sie bei der Erklärung der Grenze nicht, ob eine fremde Bestellung existiert.
Ist Mitarbeiterübergabe ab Pro eingerichtet, testen Sie sie separat mit verfügbarem und nicht verfügbarem Personal. Eine wartende Anfrage unterscheidet sich von einer sofortigen Live-Antwort. Dokumentieren Sie den zugesagten nächsten Schritt und prüfen Sie, ob Ihr Team ihn tatsächlich ausführen kann. Bei früheren Fehlern in der Kette nutzen Sie den Diagnoseleitfaden, statt Kundendatenrechte auszuweiten.