Wer kann den Gewinnbericht sehen?

Die kurze Antwort

Jeder mit der Berechtigung view_woocommerce_reports, also derselben, die WooCommerce für seine eigenen Umsatzberichte verlangt. Das sind Administratoren, Shop-Manager und jede eigene Rolle, der Sie genau diese Berechtigung gegeben haben.

Mehr ist nicht nötig, und ein separates Konto gibt es nicht. Wer schon WooCommerce-Berichte sehen kann, sieht auch diesen.

Was WooCommerce tatsächlich tut

WooCommerce sichert seine Berichtsansichten mit dieser einen Berechtigung ab. Dadurch ist eine Rolle nur für Berichte möglich: ein Konto für die Buchhaltung, das die Zahlen lesen, aber weder Produkte noch Bestellungen noch Einstellungen anrühren kann.

Im Administrationsmenü gibt es allerdings einen Haken. Das WooCommerce-Untermenü selbst verlangt eine weiter gefasste Berechtigung, ein Konto nur für Berichte sieht die Einträge darin also nie. Ein Bericht, der dort abgelegt wäre, bliebe genau für die Person unsichtbar, die ihn am ehesten braucht.

Was Sie tun können

So geben Sie Ihrer Steuerberatung Zugriff, ohne ihr Zugriff auf den ganzen Shop zu geben:

1. Legen Sie eine Rolle mit read und view_woocommerce_reports und sonst nichts an. Das erledigt jedes Plugin zur Rollenbearbeitung oder ein paar Zeilen mit add_role().
2. Prüfen Sie, was das Konto sieht: den Bericht und den CSV-Export, aber keine Ansichten für Produkte oder Bestellungen.
3. Denken Sie daran, dass die CSV-Datei Ihre Einkaufspreise enthält. Meist ist genau das gewollt, und es lohnt sich, das bewusst zu entscheiden statt aus Versehen.

So zeigt Merchgain das im Bericht

Der Bericht ist ein Eintrag auf oberster Menüebene, direkt unter dem WooCommerce-Block und nicht darin, genau damit ein Konto nur für Berichte ihn erreicht.

Die Berechtigung wird zweimal geprüft: einmal für die Ansicht und einmal für den Export. Ein Export-Endpunkt, der sich auf die Prüfung der Ansicht verlässt, ist ein Datenleck, das nur darauf wartet, dass jemand eine Adresse errät.