Sécuriser son serveur PrestaShop/WooCommerce : checklist complète

J'ai audité le serveur d'un client le mois dernier. Sa boutique PrestaShop faisait 40 000 €/mois. Il avait 3 failles critiques : SSH ouvert avec mot de passe, PHP avec 40 fonctions dangereuses activées, et pas de sauvegarde depuis 6 mois. La checklist ci-dessous est celle que j'applique sur chaque serveur avant de mettre une boutique en production. Elle prend 2 heures à exécuter et peut vous éviter une fermeture de site.

Un serveur e-commerce mal configuré, c'est votre chiffre d'affaires exposé. Les données clients, les fiches produits, l'historique des commandes : tout est dans la base de données. Les attaques sont automatisées. Un bot scanne l'ensemble d'internet pour trouver une faille SSH, une version de PHP obsolète, ou un répertoire mal protégé. Si votre serveur a une vulnérabilité connue, il sera trouvé dans les heures qui suivent sa mise en ligne.

1. SSH : fermez l'accès root et les mots de passe

Le point d'entrée numéro un des attaquants. J'ai vu des logs avec 300 tentatives de connexion SSH par jour sur un serveur standard.

• Désactivez l'authentification par mot de passe (PasswordAuthentication no dans /etc/ssh/sshd_config). Utilisez uniquement des clés SSH. Une clé RSA de 4096 bits ou Ed25519 ne se brute-force pas.
• Désactivez la connexion root directe (PermitRootLogin no). Connectez-vous avec un utilisateur sudo, pas avec root.
• Changez le port SSH par défaut (2222 par exemple). Ça n'arrête pas un attaquant déterminé, mais ça réduit de 99% le bruit dans les logs.
• Installez Fail2ban pour bannir toute IP qui tente de se connecter 5 fois en 10 minutes. Configuration en 10 minutes, effet immédiat.

2. Firewall : ne laissez passer que le nécessaire

Un serveur e-commerce n'a besoin que de 3 ports ouverts : 80 (HTTP), 443 (HTTPS), et votre port SSH personnalisé. Rien d'autre.

• Utilisez UFW ou iptables pour bloquer tout le trafic entrant sauf ces 3 ports. ufw default deny incoming puis ufw allow 80, 443, et votre port SSH.
• Rate-limit le port SSH avec UFW : ufw limit 2222/tcp. Au-delà de 6 connexions en 30 secondes, l'IP est bloquée 30 minutes.
• Bloquez les IP connues via les listes noires AbuseIPDB. Un script cron hebdomadaire suffit.

3. PHP : durcissez la configuration

PHP est le langage de PrestaShop et WooCommerce. Une config par défaut est trop permissive.

• Désactivez les fonctions dangereuses : exec, shell_exec, system, passthru, popen, proc_open, eval, assert, phpinfo. Mettez-les dans disable_functions du php.ini.
• Limitez l'accès aux fichiers avec open_basedir : chaque site ne voit que son propre répertoire.
• Cachez la version PHP : expose_php = Off. Un attaquant ne doit pas savoir que vous tournez en PHP 8.2.
• Activez SELinux ou AppArmor pour restreindre ce que PHP peut faire au niveau système. Pas facile à configurer, mais indispensable pour un serveur mutualisé ou multi-sites.

4. Base de données : un accès verrouillé

La base de données contient tout : clients, commandes, mots de passe hashés.

• MySQL ou MariaDB écoute uniquement sur localhost (bind-address = 127.0.0.1). Jamais sur une IP publique.
• Créez un utilisateur dédié pour votre boutique, avec des droits limités à sa base de données. Pas d'utilisateur root pour PrestaShop.
• Activez les logs de requêtes lentes pour détecter d'éventuelles tentatives d'injection SQL.
• Sauvegardez la base quotidiennement avec mysqldump vers un stockage externe (Backblaze B2, Scaleway Object Storage). Conservation sur 30 jours glissants.

5. Mises à jour automatiques : ne les négligez pas

60% des sites piratés le sont via des failles connues et déjà patchées (Patchstack, 2025). La solution est simple : appliquez les correctifs avant les attaquants.

• Installez unattended-upgrades sur Debian/Ubuntu pour les mises à jour de sécurité automatiques.
• Configurez un cron hebdomadaire pour apt update && apt upgrade -y suivi d'un reboot si nécessaire.
• Surveillez les annonces de sécurité de votre CMS : les équipes PrestaShop et WooCommerce publient des bulletins dès qu'une faille est corrigée.

6. Surveillance : sachez ce qui se passe sur votre serveur

Sans monitoring, vous êtes aveugle. Une boutique peut être ralentie ou compromise sans que vous le sachiez avant que les clients se plaignent.

• Installez un agent de monitoring comme Netdata (gratuit, interface web en temps réel) ou Zabbix (plus complet). Je reçois une alerte SMS si le CPU dépasse 80% ou si le disque est à plus de 90%.
• Activez les logs système et configurez logwatch pour un résumé quotidien par email. En 5 minutes par jour, vous savez si quelque chose cloche.
• Surveillez le trafic réseau avec ntopng ou vnstat. Un pic de trafic sortant inexpliqué peut indiquer qu'un attaquant pompe vos données.

7. Sauvegardes : la dernière ligne de défense

Quand tout le reste échoue, les sauvegardes sont ce qui sépare un incident d'une catastrophe. J'ai écrit un guide complet sur la sauvegarde WooCommerce, mais le principe est le même pour PrestaShop.

• Sauvegarde automatique quotidienne : fichiers + base de données. Script cron avec rotation sur 7 jours (7 sauvegardes).
• Sauvegarde hebdomadaire hors-site : copie chiffrée vers un stockage distant. Je facture 19 €/mois pour 100 Go de backup externalisé.
• Testez la restauration une fois par mois. Une sauvegarde qui n'a jamais été testée n'est pas une sauvegarde, c'est un espoir.

FAQ : Sécurité serveur e-commerce

Combien coûte un serveur sécurisé pour PrestaShop ou WooCommerce ?

Un VPS correctement configuré avec les mesures ci-dessus coûte entre 25 € et 60 €/mois selon la puissance nécessaire. La configuration initiale (2 heures) est facturée une fois. Le suivi mensuel (mises à jour, surveillance, sauvegardes) est inclus dans mes forfaits maintenance à partir de 89 €/mois.

Dois-je utiliser un hébergement managé plutôt qu'un VPS ?

Si vous n'êtes pas à l'aise avec l'administration Linux, oui. Un hébergement managé inclut la sécurité de base (mises à jour, firewall). Mais vous payez plus cher et avec moins de contrôle. Mon approche : je gère la sécurité du VPS pour vous, vous bénéficiez des performances d'un serveur dédié sans la complexité.

Quelle est la faille de sécurité la plus fréquente sur un serveur e-commerce ?

Les identifiants faibles. J'ai encore vu le mois dernier un serveur avec admin/admin comme accès à l'administration PrestaShop et une base de données sans mot de passe. Viennent ensuite les versions obsolètes de PHP et les permissions de fichiers trop permissives (777 partout).

Un certificat SSL suffit-il à sécuriser un site e-commerce ?

Non. Le HTTPS chiffre les données en transit entre le navigateur et le serveur, mais il ne protège pas le serveur lui-même. C'est comme verrouiller la porte de votre magasin mais laisser la fenêtre du bureau ouverte. Le certificat SSL n'est qu'une mesure parmi les 15 de cette checklist.

À quelle fréquence dois-je vérifier la sécurité de mon serveur ?

Un audit complet tous les 3 mois. Les mises à jour de sécurité doivent être appliquées sous 48h pour les correctifs critiques. La surveillance (logs, monitoring) est quotidienne. Je recommande aussi un test d'intrusion annuel si votre boutique dépasse 100 000 €/an de chiffre d'affaires.

---

Vous voulez que je vérifie la sécurité de votre serveur ? Je vous propose un audit gratuit de 30 minutes pour identifier les failles critiques. Si votre serveur a besoin d'une mise à niveau, consultez mon guide sur le choix d'hébergement pour savoir quel budget prévoir. Vous préférez déléguer la gestion complète ? Je propose un forfait d'infogérance serveur à partir de 89 €/mois.

Ne négligez pas les sauvegardes : ma stratégie de backup complète pour e-commerce détaille comment tester vos restaurations et éviter le piège des sauvegardes qui échouent en silence.

Pour aller plus loin, découvrez ma page dédiée au infogérance de serveur.