Aller au contenu principal

Sécurité et maintenance de votre boutique PrestaShop

Une boutique piratée à remettre en état, une faille à corriger avant qu’elle serve, ou un suivi mensuel pour ne plus y penser : je m’en occupe directement, développeur PrestaShop et administrateur des serveurs qui hébergent les boutiques.

Ma boutique est piratée Faire vérifier ma boutique

Voir le contrat de maintenance

Votre boutique est piratée
en ce moment ?

Page étrange, redirection vers un autre site, clients qui signalent des débits inconnus, hébergeur qui suspend le compte : voici par où commencer.

Les trois bons réflexes

  1. Ne supprimez rien. Les fichiers modifiés et les journaux du serveur disent par où l’intrus est entré. Les effacer, c’est se condamner à le voir revenir.
  2. Changez les mots de passe. Back-office, hébergement (FTP, SSH, base de données) et messagerie liée à la boutique, depuis un poste que vous savez sain.
  3. Appelez-moi. Je vous dis dans la foulée quoi couper et quoi laisser tourner, pour ne pas arrêter les ventes plus longtemps que nécessaire.

Si des données clients ont pu fuiter, la CNIL doit être prévenue dans les 72 heures qui suivent la découverte. Le compte rendu d’intervention vous donne de quoi le faire.

Ce que je fais

  • J’isole la boutique, entièrement ou seulement la partie touchée.
  • Je trouve la porte d’entrée : journaux, fichiers modifiés, modules, comptes.
  • Je nettoie, puis je ferme la faille, pour que l’intrusion ne se reproduise pas.
  • Je remets en ligne et je surveille les jours suivants.
  • Je vous remets un compte rendu écrit, utile pour la CNIL, la banque ou l’assurance.

Au temps passé, dès 60 € HT de l’heure sous contrat de maintenance, estimation donnée avant de commencer. Les boutiques sous contrat Sérénité passent en priorité. Hors contrat, le taux figure sur la page tarifs.

Appeler le 07 82 32 47 66 Décrire le problème

Lundi au vendredi de 9 h à 19 h, samedi de 9 h à 17 h.

Pour les curieux : la méthode pour repérer les fichiers modifiés après un piratage est détaillée dans la bibliothèque de codes.

CVE-2026-44212 CVSS 9,3 : critique Script stocké (XSS)

Votre boutique est-elle concernée par la faille du moment ?

Un visiteur, sans compte, envoie un message par le formulaire « Contactez-nous » avec une adresse e-mail piégée. Le code est enregistré en base. Il s’exécute dès qu’un employé ouvre le message dans le SAV du back-office, avec les droits de cet employé : de quoi créer un compte administrateur, modifier la boutique ou lire les données des clients.

Capture d’écran : une alerte JavaScript XSS-W4U-TEST s’exécute dans le back-office PrestaShop à l’ouverture d’un fil SAV
Démonstration sur PrestaShop 8.2.1 non corrigé : le message piégé déclenche un script à l’ouverture du fil SAV. Ici une simple alerte ; un attaquant y placerait des actions.
Versions touchées
PrestaShop antérieur à 8.2.6, y compris 1.7, 8.0 et 8.1, qui n’ont pas de correctif officiel.
Correction officielle
8.2.6 et 9.1.1, ce qui impose une montée de version.
Publication
4 mai 2026, avis GHSA-w9f3-qc75-qgx9

Comment une boutique
PrestaShop se fait pirater

Presque toujours par l’une de ces six portes. Aucune ne demande un pirate qui s’intéresse à vous en particulier : des robots les essaient sur toutes les boutiques qu’ils trouvent.

Un module en retard de mise à jour

La porte la plus courante. Dès qu’une faille est publiée dans un module, des robots la cherchent sur toutes les boutiques qu’ils croisent.

Un PrestaShop ou un PHP trop ancien

Chaque version corrige des failles documentées. Une version qui n’est plus suivie reste ouverte à toutes celles publiées depuis.

Un mot de passe réutilisé

Des robots essaient sur le back-office les identifiants volés sur d’autres sites. Un seul compte employé suffit.

Un paiement détourné

Un faux formulaire ou un script glissé dans le tunnel de commande copie les numéros de carte. Les commandes passent normalement : ce sont les clients qui découvrent les débits.

Un serveur mal fermé

Droits de fichiers trop larges, accès FTP partagé, connexion SSH par mot de passe : autant de raccourcis offerts à un intrus.

Aucune sauvegarde restaurable

Ce n’est pas une faille, c’est ce qui transforme un incident en catastrophe : sans copie saine et testée, il n’y a rien de propre à remettre en ligne.

Faire vérifier sa boutique
avant l’incident

Un état des lieux de sécurité, sans rien modifier sur la boutique. Vous recevez un rapport écrit, classé par urgence, que vous pouvez faire appliquer par qui vous voulez.

Demander un diagnostic

Ce qui est vérifié

  • Versions de PrestaShop, de PHP et des modules, comparées aux failles publiées
  • Modules abandonnés, inutiles ou installés hors des circuits officiels
  • Comptes employés, droits et accès au back-office
  • Fichiers modifiés en dehors des mises à jour
  • Sauvegardes : existence, fraîcheur et possibilité de restaurer
  • Configuration du serveur et de l’hébergement

Un forfait mensuel
pour ne plus y penser

Vous vendez, je m’occupe du reste : mises à jour, sauvegardes, surveillance et correctifs de sécurité. Sans engagement de durée. Pour un site qui n’est pas une boutique, c’est le même contrat, décrit sur la page maintenance de site internet.

Forfait Suivi

180 € HT/mois

2 h d’intervention incluses par mois

  • Mises à jour mineures de PrestaShop et des modules
  • Sauvegardes vérifiées et restauration
  • Gestion DNS et messagerie
  • Administration du serveur le cas échéant
  • Préproduction (staging), si souhaitée
Demander un devis

Forfait Sérénité

300 € HT/mois

4 h d’intervention incluses par mois

  • Tout le forfait Suivi
  • Volume adapté aux boutiques actives
  • Marge pour les évolutions courantes
  • Priorité de traitement en cas d’incident
  • Point de suivi régulier
Demander un devis

Ce qui est fait, chaque mois

  • Mises à jour appliquées sur une copie, puis en production, et vérifiées
  • Failles publiées pour vos modules suivies et corrigées en priorité
  • Sauvegardes quotidiennes, stockées hors du serveur, restauration éprouvée
  • Disponibilité surveillée : je suis prévenu quand la boutique ne répond plus
  • Certificats, versions de PHP et configuration du serveur tenus à jour
  • Avis avant toute opération délicate : montée de version, thème, module

Heures non consommées reportables dans la limite de trois mois. Montées de version majeures sur devis, jamais engagées sans votre accord. Le détail est sur la page tarifs ; une fonctionnalité nouvelle relève du développement spécifique.

Une seule personne,
du code au serveur

Rémy Montangé, 24 ans d’expérience en informatique, dont 11 comme responsable du système d’information d’une entreprise. Pas de sous-traitance : la personne qui répond au téléphone est celle qui intervient sur la boutique et sur le serveur.

Mon parcours · Des interventions réalisées

Formation
Licence professionnelle Qualité et sécurité des systèmes d’information, réseaux et télécommunications (IUT de Blois)
PrestaShop
Formé au développement PHP objet PrestaShop chez Alter Way ; modules, thèmes et correctifs
Hébergement
Serveurs Debian dédiés administrés en propre : nginx, PHP, MariaDB, sauvegardes
Implantation
Tours (Indre-et-Loire), interventions à distance partout en France

Ce qu’on me demande
le plus souvent

Combien coûte la remise en état d’une boutique piratée ?

Elle se facture au temps passé, dès 60 € HT de l’heure sous contrat de maintenance. La durée dépend de l’ancienneté de l’intrusion et de l’état des sauvegardes : je vous donne une estimation après le premier examen, avant d’aller plus loin.

Faut-il prévenir la CNIL ?

Oui, si des données personnelles de vos clients ont pu être consultées ou copiées : la notification doit être faite dans les 72 heures qui suivent la découverte (RGPD, article 33), et les clients doivent être informés si le risque pour eux est élevé (article 34). Le compte rendu d’intervention vous donne les éléments à transmettre.

Mon hébergeur fait déjà des sauvegardes.

Elles sont souvent conservées sur la même infrastructure que le site, et rarement testées. Si le serveur est chiffré par un rançongiciel, ou si l’intrusion date de plusieurs semaines, elles peuvent être inutilisables. Une sauvegarde quotidienne, stockée ailleurs et dont la restauration est vérifiée, n’a pas ce défaut.

PrestaShop me prévient des mises à jour, je les fais moi-même.

C’est possible, à condition de sauvegarder avant, de vérifier la compatibilité des modules et du thème, puis de tester après. Le bouton de mise à jour ne fait rien de tout cela. Et les failles des modules tiers n’apparaissent pas dans le back-office : elles sont publiées ailleurs, notamment par Friends of Presta.

Ma boutique est trop petite pour intéresser un pirate.

Les attaques sont automatisées : des robots parcourent les boutiques à la recherche d’une version ou d’un module vulnérable, sans regarder le chiffre d’affaires. Une petite boutique avec un module en retard est une cible comme une autre.

Tout fonctionne depuis des années sans problème.

Une intrusion bien menée ne se voit pas : un script qui copie les numéros de carte laisse passer les commandes normalement. L’absence de symptôme ne prouve rien. Une vérification des fichiers et des journaux du serveur, si.

Les failles publiées,
suivies au fil de l’eau

Les sources que je surveille pour les boutiques sous contrat, affichées telles quelles et actualisées toutes les six heures.

Friends of Presta

Failles des modules tiers

Toutes les publications

NVD · PrestaShop

CVE référencées par le NIST

Toutes les publications

CERT-FR

Alertes de l’ANSSI

Toutes les publications

Drupal et WordPress

Avis de sécurité et CVE du NIST

Toutes les publications

Un doute sur votre boutique ?
Parlons-en.

Réponse sous 24 h ouvrées. En cas de piratage en cours, le téléphone va plus vite.

Faire vérifier ma boutique Appeler le 07 82 32 47 66