Sécurité complète pour PrestaShop : guide du module

Dashboard score de sécurité

Un score de sécurité en temps réel avec une note en lettre (A/B/C/D), calculé à partir des réglages de votre boutique, des couches pare-feu/captcha/2FA et du dernier scan de malwares (rien ne quitte votre serveur). En dessous, une Checklist des contrôles de sécurité (exemples visibles : mode debug désactivé en production, HTTPS forcé partout, pare-feu applicatif actif, captcha sur la connexion/l'inscription, authentification à deux facteurs sur le back-office, aucun malware/webshell détecté, nom du dossier back-office non devinable, jeton de sécurité du back-office activé). Les éléments à corriger affichent un raccourci Corriger maintenant qui mène directement au réglage concerné.

Dashboard: score de sécurité et checklist

Règles du pare-feu

Ajoutez et gérez les listes de règles avec un seul formulaire Ajouter une règle : Liste blanche IP/CIDR (adresses de confiance, qui contournent tous les contrôles), Liste noire IP/CIDR (adresses bloquées), Règles par pays (codes ISO-2), User-agents indésirables (correspondance par sous-chaîne), Motifs d'attaque personnalisés (correspondance par sous-chaîne), et une Liste blanche de motifs (/module/designer/save pour l'adresse d'une page, avec un * final pour les adresses situées en dessous ; ?fc=module&module=designer&controller=save ou ?controller=search pour une page quelle que soit son adresse ; tout autre texte pour une valeur entière. Une entrée ne correspond jamais à une partie d'une valeur : une valeur qui se contente de la contenir est quand même contrôlée). Une bannière affiche votre IP actuelle et vous avertit de la mettre en liste blanche avant d'activer le mode verrouillage ou le back-office réservé aux IP en liste blanche, afin de ne jamais vous retrouver bloqué à l'extérieur.

Règles du pare-feu: liste blanche, liste noire, pays, user-agents et motifs

Journal des blocages

Chaque requête bloquée est enregistrée avec la date, l'IP, le pays, le motif (par ex. user_agent, attack_pattern, ip, rate, login), le détail, l'URI demandée et le user-agent. Filtrez par motif ou par IP, Exporter en CSV, Vider le journal, ou débloquez une IP directement depuis cette page.

Journal des blocages: filtrer, exporter ou débloquer une IP

Protection des connexions

Surveille les tentatives de connexion au back-office et bloque un compte/une IP après trop de tentatives échouées dans une fenêtre de temps donnée ; vous pouvez débloquer une entrée manuellement. Les tentatives échouées sont comptées sur PrestaShop 1.7, 8 et 9, et une adresse bloquée est refusée avant même la vérification du mot de passe, y compris sur PrestaShop 9. Configurez les seuils dans Paramètres (Protection des connexions au back-office). La connexion des clients pendant la commande (checkout) a elle aussi une limite de tentatives échouées par adresse IP (le double du seuil du back-office, sur la même fenêtre de temps) : au-delà, le client revient à la commande avec un message l'invitant à patienter quelques minutes.

Protection des connexions: tentatives échouées et blocages actifs

Captcha

• Fournisseur de captcha: choisissez Google reCAPTCHA v2 (case à cocher), reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, ou le fournisseur Lightweight qui ne nécessite aucune clé et reste entièrement sur votre serveur.
• Clé de site / Clé secrète: depuis le tableau de bord du fournisseur choisi, seuil de score reCAPTCHA v3, thème du widget, position du badge, durée de vie du jeton pour le fournisseur Lightweight.
• Formulaires protégés: Connexion, Inscription, Mot de passe oublié, Formulaire de contact, Newsletter, Avis produit, Commande invité (chacun activable/désactivable).
• Avancé: Fail closed (bloquer quand le fournisseur est injoignable), Ignorer le captcha pour les clients connectés, Délai de vérification, Liste blanche d'IP de confiance, vérification du hostname, vérification de l'action.
• Rate limiting: limite les tentatives de captcha échouées avec un maximum et une fenêtre de temps.

Captcha: fournisseur, formulaires protégés et rate limiting

Authentification à deux facteurs (2FA)

Codes à usage unique basés sur le temps (Google Authenticator, Authy, 1Password et toute application compatible). Rien ne quitte votre serveur : les secrets sont chiffrés au repos et vérifiés localement.

• Votre compte: activez la 2FA pour le compte avec lequel vous êtes connecté (scannez un QR code, saisissez un code à 6 chiffres).
• Activer la 2FA pour le back-office (personnel) et/ou pour les clients (front-office).
• Forcer la 2FA pour des profils employé spécifiques, par ID (1 = SuperAdmin, 2 = Logisticien, 3 = Traducteur, 4 = Vendeur) ; les profils listés ne peuvent pas utiliser le back-office tant qu'ils ne se sont pas inscrits.
• Fenêtre de tolérance, nombre de codes de secours, nom de l'émetteur affiché dans l'application.
• Employés inscrits et clients inscrits sont listés et peuvent être réinitialisés.

2FA: inscription, profils forcés et utilisateurs inscrits

Scanner de malwares

Analyse locale de malwares/webshells : recherche les signatures connues de webshells et de code obfusqué, le code exécutable caché dans les dossiers médias, et les fichiers ajoutés ou modifiés depuis votre base de référence de confiance. Tout s'exécute sur le serveur : aucun fichier, hash ou chemin ne quitte jamais la boutique.

• Métriques: fichiers suspects, fichiers en référence, dernière analyse.
• Lancer l'analyse maintenant et Définir les fichiers actuels comme base de référence de confiance.
• Les résultats sont listés avec la gravité, le quoi, le fichier et le quand.

Scanner de malwares: métriques, analyse et résultats

Paramètres configuration du pare-feu

La configuration propre du pare-feu, regroupée par section.

• Général: Activer le pare-feu ; Derrière un proxy/CDN avec un en-tête de proxy de confiance et des IP/CIDR de proxy de confiance, n'activez cette option que derrière un proxy réellement fiable, sinon les en-têtes IP/pays peuvent être falsifiés.
• Blocage IP/CIDR.
• Blocage par pays: mode liste noire ou liste blanche, codes ISO-2, chemin optionnel vers une base MaxMind GeoLite2 ou un en-tête CDN indiquant le pays, la base n'est jamais fournie avec le module, pour des raisons de licence.
• Bots / user-agents indésirables: activer le blocage par user-agent, bloquer les user-agents vides, sous-chaînes supplémentaires à bloquer fusionnées avec une liste intégrée.
• Rate limiting: nombre maximum de requêtes par fenêtre, durée de la fenêtre en secondes, durée du blocage temporaire.
• Blocage par motifs d'attaque: SQLi/XSS/LFI/probing. Chaque champ des formulaires envoyés est contrôlé ; un envoi de plus de 2 Mo, imbriqué sur plus de 32 niveaux ou qui ne peut pas être lu jusqu'au bout est refusé (motifs du journal inspection_limit et inspection_error). Une vraie commande reste très en dessous de ces limites ; si l'un de vos modules envoie légitimement des données plus volumineuses depuis la boutique, ajoutez le chemin de son adresse (par exemple /module/designer/save) à la Liste blanche de motifs.
• Protection des connexions au back-office: nombre maximum de tentatives échouées, fenêtre de tentative, durée du blocage, autoriser le back-office uniquement depuis les IP en liste blanche.
• Maintenance et journalisation: Mode verrouillage (autoriser uniquement les IP en liste blanche), journaliser les requêtes bloquées, durée de conservation du journal en jours, supprimer toutes les données à la désinstallation.
• Rapport de sécurité hebdomadaire: envoie un court rapport par e-mail ; s'exécute en arrière-plan par petites étapes pour ne jamais ralentir la boutique.

Paramètres: configuration du pare-feu par section

Dans le front-office

Quand le pare-feu bloque une requête, le visiteur voit une simple page 403 « Forbidden, votre requête a été bloquée par le pare-feu du site » : les bots et les scanners n'atteignent jamais votre boutique.

Dans le front-office: la page 403 affichée quand le pare-feu bloque une requête