Un site PrestaShop sur 5 n'est pas à jour (Patchstack, 2025). La faille de sécurité la plus exploitée sur PrestaShop en 2025 était une injection SQL dans un module tiers obsolète. Un client a perdu 12 000 € de commandes parce que son site a été blacklisté par Google pendant 3 semaines. La sécurité n'est pas un détail technique : c'est ce qui protège votre chiffre d'affaires. Voici la checklist que j'applique sur chaque boutique PrestaShop que j'audite.
1. Mettre à jour le coeur PrestaShop et les modules
La règle numéro 1, celle qui évite 80% des problèmes : tout doit être à jour. Le coeur PrestaShop, les modules, le thème. Les mises à jour de sécurité sont publiées régulièrement. Une boutique qui tourne sur PrestaShop 1.6 ou 1.7 sans correctif depuis 2024 est une cible ouverte. La version 8.x est la seule qui reçoit encore des patchs de sécurité. Si vous êtes encore en 1.7, planifiez une migration vers la 8.x.
Correction : activez les notifications de mise à jour dans le back-office. Planifiez une fenêtre de maintenance mensuelle pour appliquer les mises à jour. Testez d'abord sur un environnement de staging.
2. Désactiver les modules inutilisés
Chaque module actif est une surface d'attaque potentielle. J'ai audité une boutique avec 47 modules actifs. 22 ne servaient à rien (modules préinstallés, doubles, démos). On en a désactivé 18, supprimé 4. Résultat : le temps de chargement est passé de 5.2s à 2.1s, et la surface d'attaque a été réduite de moitié. Voir mes optimisations PrestaShop.
3. Changer les identifiants par défaut
L'admin PrestaShop est encore en "admin" sur 30% des boutiques que j'audite. Le nom d'utilisateur par défaut est "admin@prestashop.com". Les bots scannent ces accès en permanence. Correction : renommez le dossier /admin en un nom unique. Changez l'email admin. Activez l'authentification à deux facteurs.
4. Configurer les permissions fichiers
Les fichiers PrestaShop doivent avoir des permissions restrictives : 644 pour les fichiers, 755 pour les dossiers. Le fichier /config/settings.inc.php (qui contient les accès à la base de données) doit être en 444 (lecture seule). J'ai vu un cas où ce fichier était en 777 : n'importe qui pouvait lire les identifiants de la base.
5. Activer le SSL et les en-têtes de sécurité
HTTPS n'est pas négociable. Mais au-delà du certificat SSL, ajoutez les en-têtes de sécurité : Content-Security-Policy (CSP) pour limiter les scripts autorisés, X-Frame-Options pour éviter le clickjacking, Strict-Transport-Security pour forcer le HTTPS. La plupart de ces en-têtes se configurent dans le .htaccess.
6. Sauvegarder automatiquement et tester les backups
La moitié des sauvegardes que je teste échouent. Le fichier est corrompu, le cron n'est pas exécuté, l'espace disque est insuffisant. Correction : sauvegarde automatique quotidienne de la base et des fichiers, avec rétention sur 30 jours. Testez la restauration une fois par mois sur un environnement de staging. Une sauvegarde qui ne peut pas être restaurée ne sert à rien.
7. Surveiller les tentatives de connexion
Activez les logs de connexion et surveillez les tentatives échouées. 5 tentatives depuis la même IP en 10 minutes = blocage automatique. Les modules de sécurité comme PrestaShield ou昭和 000 peuvent le faire.
FAQ : Sécurité PrestaShop
Faut-il un prestataire pour sécuriser ma boutique ?
Les bases (mises à jour, permissions, SSL) sont accessibles à un bon webmaster. Les audits avancés (test d'intrusion, analyse de code) nécessitent un expert.
Combien coûte un audit de sécurité PrestaShop ?
Comptez 400 à 1 200 € selon la taille de la boutique et la profondeur de l'audit. La plupart des correctifs sont inclus dans le forfait.
Vous voulez savoir si votre boutique PrestaShop est sécurisée ? Je vous propose un audit de sécurité de 30 minutes.
Pour aller plus loin, découvrez ma page dédiée au audit sécurité PrestaShop.
Vous aimerez aussi
Consultant SEO e-commerce et expert Adobe Analytics, dans le web depuis 2007. J'aide les boutiques en ligne à gagner des clients grâce au référencement naturel.
