WAF et blocage des bots pour les boutiques en ligne

Un WAF (pare-feu applicatif web) inspecte les requêtes avant qu'elles n'atteignent PrestaShop et bloque celles qui ressemblent à des attaques : injection SQL, envoi de fichiers malveillants, scans de vulnérabilités, force brute contre la connexion.

Où il peut se trouver

• Dans le CDN (Cloudflare et similaires) : il filtre avant d'atteindre votre serveur.
• Sur le serveur (ModSecurity, Imunify, règles de l'hébergeur).
• En PHP : un fichier chargé avant PrestaShop qui décide selon l'IP, l'agent ou l'URL.

Bots : bons et mauvais

• Bons : Googlebot, Bingbot, le bot de Google Merchant, ceux de vos intégrations.
• Douteux : robots d'exploration SEO et d'IA qui consomment des ressources sans rien vous apporter. Vous pouvez les limiter.
• Mauvais : scanners de vulnérabilités, robots de force brute, aspirateurs de prix agressifs.

Comment éviter de bloquer qui il ne faut pas

• Liste blanche pour vos intégrations : ERP, passerelles de paiement (leurs notifications arrivent depuis leurs IP), outils de sauvegarde.
• Derrière un CDN, le WAF PHP voit l'IP du CDN : configurez l'en-tête d'IP réelle, sinon vous bloquerez tout le monde ou personne.
• Consultez les journaux de blocage la première semaine après l'activation.

Et dans vos copies

Un WAF qui décide selon l'IP peut bloquer votre environnement de test, où toutes les requêtes arrivent d'un proxy interne. Dans les copies, désactivez-le.