Checklist de segurança para PrestaShop em 2026

A maioria das lojas atacadas que vemos não foi vítima de um ataque sofisticado, mas de algo que estava há meses por atualizar ou de uma palavra-passe reutilizada. Esta é a lista que revemos com os nossos clientes.

Software

• PrestaShop numa versão com suporte e com as correções de segurança aplicadas.
• PHP numa versão com suporte de segurança.
• Módulos atualizados, sobretudo os que expõem controladores públicos (pagamentos, importadores, formulários).
• Módulos que não usa: desinstalados e com a pasta apagada. Um módulo desativado continua a ter os seus ficheiros acessíveis.

Back office

• Pasta de administração com nome não evidente (o PrestaShop muda-lhe o nome ao instalar; não a altere para «admin»).
• Autenticação de dois fatores para todos os funcionários.
• Um utilizador por pessoa, com o perfil mínimo de que precisa. Nada de contas partilhadas.
• Palavras-passe longas e únicas, num gestor de palavras-passe.
• Bloqueio por tentativas falhadas.

Servidor e ficheiros

• HTTPS em todo o site.
• Permissões corretas: 755 nas pastas, 644 nos ficheiros; nada em 777.
• Execução de PHP bloqueada nas pastas de carregamento (upload/, img/, download/).
• Sem ficheiros de cópia, dumps SQL nem ZIPs na raiz pública.
• Modo de depuração desativado.

Cópias de segurança

• Cópias diárias da base de dados e dos ficheiros, fora do servidor.
• Pelo menos um restauro de teste por ano: uma cópia que nunca foi testada não é uma cópia.

Vigilância

• Alerta quando mudam ficheiros do núcleo ou aparecem .php novos.
• Revisão periódica de funcionários, chaves de Webservice e integrações ativas.
• Firewall de aplicação (WAF) e limitação de bots.