Ce que les pirates cherchent sur une boutique
- Les cartes bancaires de vos clients, par un script espion (skimmer) glissé dans la page de commande. Silencieux, il peut tourner des semaines.
- Votre base clients : noms, e-mails, adresses, historique de commandes, revendus ou utilisés pour du hameçonnage crédible.
- Votre serveur, pour héberger du spam, rediriger vos visiteurs ou attaquer d'autres sites, avec votre nom de domaine en couverture.
Par où ils entrent
Les modules
C'est de loin le premier point d'entrée. Des failles d'injection SQL ou de dépôt de fichier sont régulièrement publiées sur des modules très répandus, et exploitées en masse dans les jours qui suivent. Un module installé il y a des années et jamais mis à jour est un risque, même désactivé.
Le back-office
Un dossier d'administration à l'adresse par défaut ou facile à deviner, des comptes d'anciens prestataires toujours actifs, des mots de passe faibles : autant d'invitations.
Les fichiers oubliés
Sauvegardes de base de données, fichiers de configuration copiés, outils comme phpMyAdmin ou Adminer accessibles depuis Internet. Le test gratuit les détecte.
Les priorités pour sécuriser PrestaShop
- Comparer chaque module aux failles publiées (avis Friends of Presta) et corriger ou retirer ceux qui sont touchés.
- Durcir le back-office : dossier d'administration renommé, comptes nominatifs, comptes inutiles supprimés, mots de passe robustes.
- Retirer tout ce qui ne doit pas être public : sauvegardes, outils de base de données, fichiers de test.
- Renforcer le serveur et le domaine : HTTPS et HSTS, en-têtes de sécurité, cookies protégés, SPF, DKIM et DMARC.
- Surveiller la page de commande : tout script inconnu qui y apparaît doit déclencher une alerte.
Les mises à jour de PrestaShop et des modules peuvent casser une boutique. Nous les testons toujours sur une copie avant de les appliquer, avec un devis séparé.
Une boutique dont les failles ont été fermées doit ensuite être suivie : de nouveaux avis de sécurité sur les modules paraissent régulièrement. Pour déléguer ce suivi, voyez notre offre de maintenance PrestaShop au mois, avec mises à jour testées et surveillance de la boutique.
Des clients signalent des fraudes ?
Si votre banque ou vos clients remontent des paiements frauduleux après un achat chez vous, considérez que la boutique est compromise. Lisez site piraté : que faire et agissez sans attendre.