60% des PME victimes d'une cyberattaque deposent le bilan dans les 18 mois (Cybermalveillance.gouv.fr, 2025). Votre boutique en ligne traite des donnees bancaires, des informations personnelles et du chiffre d'affaires : c'est une cible de choix. Ce guide vous donne les bases pour la proteger, que vous soyez sur PrestaShop, WooCommerce ou Shopify.
Pourquoi les boutiques en ligne sont la cible numero 1 des hackers
Une boutique en ligne coche toutes les cases du cybercriminel : elle recoit des paiements, stocke des donnees clients, tourne sur des CMS souvent non mis a jour, et son proprietaire n'a ni le temps ni les competences pour la securiser. Resultat : 43% des cyberattaques visent les TPE/PME, et parmi elles, les e-commercants sont en premiere ligne (Cybermalveillance.gouv.fr, 2025).
J'ai travaille sur la securite de plusieurs infrastructures e-commerce, et le constat est toujours le meme : 80% des failles exploitees sont connues et corrigees depuis des mois, voire des annees. Les correctifs existent, mais ils ne sont pas appliques. Ce n'est pas un probleme technique, c'est un probleme d'organisation.
Un site pirate, c'est du trafic perdu, des clients qui fuient, des semaines de nettoyage, et potentiellement une fermeture administrative si les donnees bancaires ont fui. Sans parler de l'impact sur le referencement : Google desindexe les sites compromis.
Les attaques les plus frequentes sur les sites e-commerce
Ransomwares
Un ransomware chiffre vos fichiers et votre base de donnees, puis exige une rancon en cryptomonnaie. En 2025, le montant moyen demande aux PME etait de 5 000 a 15 000 euros (ANSSI). Dans 80% des cas, l'infection provient d'un module cracke telecharge sur des sites pirates, d'une faille sur un plugin non maintenu, ou d'un acces SSH force par mot de passe faible.
Injections SQL
L'injection SQL reste l'attaque la plus dangereuse pour un e-commerce. Un hacker insere une requete SQL malveillante dans un champ de formulaire (recherche, connexion, paiement) pour extraire la base de donnees. En clair : vos clients, leurs emails, leurs mots de passe (meme hashes), leurs adresses et parfois leurs donnees bancaires.
Cross-Site Scripting (XSS)
Le XSS consiste a injecter du code JavaScript malveillant dans une page vue par d'autres utilisateurs. Sur un e-commerce, cela permet de voler des cookies de session, de detourner des paiements, ou d'afficher de fausses pages de connexion.
Brute force
Les bots tentent des millions de combinaisons identifiant/mot de passe sur votre page d'administration. Si vous utilisez encore "admin/123456", vous serez pirate dans l'heure. Avec fail2ban et une bonne politique de mots de passe, ce risque tombe a zero.
Vulnerabilites specifiques par CMS
PrestaShop : les modules sont le maillon faible
PrestaShop est le CMS e-commerce le plus utilise en France, ce qui en fait une cible de choix. Les failles les plus frequentes que je trouve : modules non officiels ou crackes, versions obsoletes (PrestaShop 1.6 n'est plus maintenu depuis 2020), droits d'acces mal configures.
Pour un diagnostic plus pousse : audit de securite PrestaShop.
WooCommerce : chaque plugin est une surface d'attaque
Sur WooCommerce, la securite depend de votre vigilance. Les plugins de securite WordPress (Wordfence, Sucuri) sont quasi obligatoires. Les extensions non maintenues et PHP obsolete sont les principales portes d'entree.
Ma page securisation de site e-commerce couvre les bases applicables a WooCommerce.
Shopify : une securite externalisee, pas absente
Shopify gere l'infrastructure pour vous, mais les applications tierces, les mots de passe et la configuration du domaine sont de votre ressort. Chaque app installee a acces a vos donnees.
Securiser le serveur : SSH, firewall, hardening PHP
Que votre boutique tourne sur un hebergement mutualise, un VPS ou un serveur dedie, la securite du serveur est le socle.
- SSH : desactivez l'authentification par mot de passe, utilisez des cles, changez le port, activez fail2ban.
- Firewall : ports ouverts uniquement 80 et 443, bloquez phpMyAdmin, utilisez un WAF.
- PHP hardening : desactivez les fonctions dangereuses (exec, shell_exec), limitez les repertoires accessibles.
Pour une checklist complete : infogerance serveur e-commerce.
SSL/TLS : ne vous arretez pas au certificat
Un certificat SSL ne suffit pas. En 2026, les standards minimaux : TLS 1.2 minimum, TLS 1.3 ideal, HSTS configure, redirection HTTP vers HTTPS, contenu mixte interdit. Testez votre configuration avec SSL Labs (Qualys) : visez le grade A ou A+.
Strategie de backup : la regle 3-2-1
3 copies de vos donnees, 2 supports differents, 1 copie hors site. Automatisez tout avec un script cron et un stockage objet (S3, Backblaze B2). Testez la restauration au moins une fois par trimestre.
Monitoring : detecter avant de subir
Outils que j'installe systematiquement : fail2ban, IDS/IPS (OSSEC, Wazuh), scan de fichiers (Tripwire, AIDE), logs centralises (Graylog, Loki), alertes temps reel.
Checklist de securite en 10 points
- Mettez a jour votre CMS et tous ses modules/plugins
- Activez le 2FA sur tous les comptes administrateur
- Changez les identifiants par defaut, mots de passe robustes
- Limitez les tentatives de connexion avec fail2ban
- Verifiez les permissions des fichiers (644/755, jamais 777)
- Desactivez l'affichage des erreurs PHP en production
- Supprimez les modules et themes inutilises
- Chiffrez les donnees sensibles en base (bcrypt ou Argon2)
- Auditez les permissions des apps et plugins chaque trimestre
- Testez un backup complet en staging chaque trimestre
Ma page dediee securisation de site e-commerce reprend cette checklist avec les commandes exactes pour chaque CMS.
FAQ : Cybersecurite e-commerce
Pour aller plus loin : page pilier cybersecurite e-commerce.
Quelle est la premiere chose a faire pour securiser ma boutique ?
Mettre a jour votre CMS et tous ses modules. 80% des failles exploitees le sont sur des versions connues et corrigees. Verifiez aussi que votre hebergement utilise PHP 8.1 minimum et que le certificat SSL est valide.
Un site Shopify est-il protege par defaut ?
Shopify gere l'infrastructure serveur, les paiements et le SSL. Mais la securite de votre boutique depend aussi de vous : mots de passe forts, 2FA, permissions des apps, surveillance des acces staff.
Combien coute un audit de securite e-commerce ?
Entre 390 € (scan automatise) et 2 500 € (audit complet avec plan de correction). Le cout est deductible du budget maintenance : un incident coute en moyenne 10 fois plus cher.
Faut-il un VPN pour acceder a l'administration ?
Pour les boutiques sensibles, oui. Pour une petite boutique, le 2FA et un mot de passe robuste suffisent.
Que faire si ma boutique est piratee ?
- Isolez le serveur
- Changez tous les mots de passe
- Analysez les logs
- Restaurez depuis un backup propre
- Auditez avant de remettre en ligne
- Declarez l'incident a la CNIL sous 72h si donnees personnelles fuitees
Vous aimerez aussi
Consultant SEO e-commerce et expert Adobe Analytics, dans le web depuis 2007. J'aide les boutiques en ligne à gagner des clients grâce au référencement naturel.
