Modules tiers : comment évaluer si un module est sûr avant de l'installer

La plupart des vulnérabilités graves des boutiques PrestaShop ne se trouvent pas dans le cœur, mais dans les modules. Il ne s'agit pas de n'en installer aucun, mais de bien choisir.

Avant d'acheter ou de télécharger

• Origine : PrestaShop Addons ou le site du développeur. Jamais de versions « gratuites » de modules payants : elles arrivent souvent avec une surprise.
• Mises à jour : à quand remonte la dernière ? Prend-il en charge votre version de PrestaShop et de PHP ?
• Support : le développeur répond-il ? Y a-t-il un journal des modifications ?

En examinant le paquet

• Overrides : combien en installe-t-il ? Chacun est une source de conflits futurs.
• Points d'entrée publics : des fichiers PHP isolés accessibles de l'extérieur (ajax.php, cron.php, export.php) sans vérification de jeton sont la vulnérabilité la plus courante.
• Requêtes SQL avec des variables non échappées (pSQL(), (int)).
• Code obfusqué : un module qui cache son code ne vous permet pas de savoir ce qu'il fait.
• Appels à des serveurs externes : quelles données envoie-t-il, et où ?

Après l'installation

• Testez-le d'abord sur une copie de la boutique.
• Vérifiez quels hooks il enregistre et sur quelles pages il agit.
• S'il n'est plus utilisé, désinstallez-le et supprimez son dossier.