Checklist de sécurité pour PrestaShop en 2026

La plupart des boutiques piratées que nous voyons n'ont pas été victimes d'une attaque sophistiquée, mais de quelque chose qui n'avait pas été mis à jour depuis des mois ou d'un mot de passe réutilisé. Voici la liste que nous passons en revue avec nos clients.

Logiciel

• PrestaShop dans une version supportée, avec les correctifs de sécurité appliqués.
• PHP dans une version qui reçoit encore des correctifs de sécurité.
• Modules à jour, en particulier ceux qui exposent des contrôleurs publics (paiements, importateurs, formulaires).
• Modules inutilisés : désinstallés et leur dossier supprimé. Un module désactivé garde ses fichiers accessibles.

Back-office

• Dossier d'administration au nom non évident (PrestaShop le renomme à l'installation ; ne le changez pas en « admin »).
• Double authentification pour tous les employés.
• Un utilisateur par personne, avec le profil minimal nécessaire. Pas de comptes partagés.
• Mots de passe longs et uniques, dans un gestionnaire de mots de passe.
• Blocage après plusieurs tentatives échouées.

Serveur et fichiers

• HTTPS sur tout le site.
• Permissions correctes : 755 pour les dossiers, 644 pour les fichiers ; rien en 777.
• Exécution de PHP bloquée dans les dossiers d'upload (upload/, img/, download/).
• Aucun fichier de sauvegarde, dump SQL ni ZIP à la racine publique.
• Mode debug désactivé.

Sauvegardes

• Sauvegardes quotidiennes de la base de données et des fichiers, hors du serveur.
• Au moins une restauration de test par an : une sauvegarde jamais testée n'est pas une sauvegarde.

Surveillance

• Alerte quand des fichiers du cœur changent ou que de nouveaux .php apparaissent.
• Revue périodique des employés, des clés Webservice et des intégrations actives.
• Pare-feu applicatif (WAF) et limitation des bots.