Checklist di sicurezza per PrestaShop nel 2026

La maggior parte dei negozi violati che vediamo non è stata vittima di un attacco sofisticato, ma di qualcosa che non veniva aggiornato da mesi o di una password riutilizzata. Questa è la lista che ripassiamo con i nostri clienti.

Software

• PrestaShop in una versione supportata e con le patch di sicurezza applicate.
• PHP in una versione con supporto di sicurezza.
• Moduli aggiornati, soprattutto quelli che espongono controller pubblici (pagamenti, importatori, moduli di contatto).
• Moduli che non usi: disinstallati e cartella eliminata. Un modulo disattivato ha ancora i suoi file accessibili.

Back office

• Cartella di amministrazione con un nome non ovvio (PrestaShop la rinomina durante l'installazione; non cambiarla in «admin»).
• Autenticazione a due fattori per tutti i dipendenti.
• Un utente per persona, con il profilo minimo necessario. Niente account condivisi.
• Password lunghe e uniche, in un gestore di password.
• Blocco dopo tentativi falliti.

Server e file

• HTTPS su tutto il sito.
• Permessi corretti: 755 per le cartelle, 644 per i file; niente in 777.
• Esecuzione di PHP bloccata nelle cartelle di upload (upload/, img/, download/).
• Niente file di backup, dump SQL né ZIP nella root pubblica.
• Modalità debug disattivata.

Backup

• Backup giornalieri di database e file, fuori dal server.
• Almeno un ripristino di prova all'anno: un backup mai provato non è un backup.

Monitoraggio

• Avviso quando cambiano file del core o compaiono nuovi .php.
• Revisione periodica di dipendenti, chiavi del Webservice e integrazioni attive.
• Firewall applicativo (WAF) e limitazione dei bot.