Audit de sécurité PrestaShop : savoir où la boutique est exposée avant qu’on l’exploite

Un audit de sécurité PrestaShop se cadre par écrit avant le premier test : ce qui est examiné, avec quelle méthode, sur quel environnement, et quels livrables. Il décrit l’état de la boutique à une date et ne garantit pas l’absence de faille. Une grille publique en français est le référentiel d’exigences PASSI (prestataires d’audit de la sécurité des systèmes d’information) de l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, dans sa version 2.2 du 1er août 2024.

• Un audit de sécurité PrestaShop combine jusqu’à cinq activités distinctes
• La méthode d’un test d’intrusion se choisit entre boîte noire, grise et blanche
• Un test d’intrusion exige un accord écrit avant toute action qui peut casser la boutique
• Une autorisation écrite précède tout test sur un système qui n’est pas le vôtre
• Le rapport d’audit se lit sans être expert
• Un audit de sécurité ne prouve pas qu’une boutique PrestaShop est sûre
• Un audit PrestaShop croise vos modules avec les avis publiés
• Le devis d’un audit varie avec le périmètre, le mode et le contre-test
• Deux confusions réduisent un audit à une formalité
• Sources consultées
• Foire aux questions

Un audit de sécurité PrestaShop combine jusqu’à cinq activités distinctes

Le référentiel nomme cinq activités : audit d’architecture, audit de configuration, audit de code source, test d’intrusion, audit organisationnel et physique. Pour une boutique, le devis doit dire lesquelles sont retenues.

La méthode d’un test d’intrusion se choisit entre boîte noire, grise et blanche

Le référentiel définit trois modes. En boîte noire, l’auditeur ne connaît que l’adresse de la boutique. En boîte grise, il reçoit quelques informations et des comptes de profils légitimes. En boîte blanche, il dispose du maximum : architecture, code source, configuration.

Un scénario : une boutique qui vend à des professionnels donne à l’auditeur un compte client de test et un compte employé à droits limités. C’est une boîte grise, qui examine ce qu’un client connecté ou un employé peut atteindre.

Un test d’intrusion exige un accord écrit avant toute action qui peut casser la boutique

Un test peut rendre une boutique instable. Le référentiel impose au prestataire d’obtenir l’accord écrit du commanditaire avant d’exploiter une vulnérabilité susceptible de provoquer une instabilité ou un déni de service (service rendu indisponible). Il lui demande aussi de sensibiliser le client à la sauvegarde du système audité avant l’audit.

Si le test se fait sur une copie (la préproduction), le prestataire vérifie que cet environnement est comparable à la production, et que les résultats s’y appliquent. Une copie sans les mêmes modules n’est pas comparable à la production.

Faites écrire la fenêtre de test, la sauvegarde préalable et qui paie la remise en état si une opération casse la boutique.

Une autorisation écrite précède tout test sur un système qui n’est pas le vôtre

D’après la fiche réflexe sur la défiguration de Cybermalveillance.gouv.fr, les articles 323-1 à 323-7 du code pénal punissent le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données. Un audit se fait avec l’autorisation écrite de celui qui détient le système, hébergeur compris (déduction).

Décrire mon besoin →

Le rapport d’audit se lit sans être expert

Le référentiel décrit ce que contient le rapport d’un prestataire qualifié. Reprenez-le comme grille, qualifié ou non :

• une synthèse compréhensible par des personnes non expertes, avec une appréciation générale, les risques critiques et leurs scénarios ;
• les réserves (limite de l’échantillonnage, difficultés rencontrées) et les activités menées en partie de façon automatique ;
• pour chaque constat, un identifiant unique, les preuves, les conditions d’exploitation et le résultat d’une tentative éventuelle ;
• une échelle de gravité, puis une échelle de priorité des mesures qui tient compte de la complexité, du coût et du délai ;
• en annexe, le plan d’audit et la note de cadrage.

Le référentiel demande aussi de recommander un audit de contrôle, pour vérifier que les mesures contre les risques critiques ont été appliquées.

Un audit de sécurité ne prouve pas qu’une boutique PrestaShop est sûre

Le guide de test d’applications web de l’OWASP (projet communautaire de sécurité des applications) l’écrit dans l’avant-propos de sa version 4.2 : aucun guide ne liste tout ce qu’il faut tester, et les outils automatisés, génériques, ne sont pas conçus pour le code sur mesure. La méthode dit si chaque activité est exhaustive ou menée par échantillonnage, et pourquoi.

Un audit date d’un jour. Après l’installation d’un module ou une mise à jour du cœur, la boutique n’est plus celle qui a été examinée (déduction). L’article 32 du RGPD parle d’une procédure de test régulière, pas d’un test unique.

Un audit PrestaShop croise vos modules avec les avis publiés

Le contrôle propre à PrestaShop commence par l’inventaire : version du cœur, version de chaque module, thème, retouches. Chaque ligne se compare aux avis de l’association Friends of Presta et à ceux de l’éditeur, méthode décrite dans la page sur les correctifs de failles.

L’avis de Friends of Presta sur le module upsshipping donne des points de configuration à contrôler : modules dont l’éditeur n’est plus actif, accès HTTP aux dossiers logs/, cache/ et tmp/, journalisation verbeuse en production, journaux stockés dans la racine du site web au lieu d’en être exclus.

Ajoutez l’option « Mode debug » (Debug mode) de la page Paramètres de performances : activée, elle affiche les messages d’erreur techniques. Ajoutez les comptes : la documentation du menu Équipe demande un compte par personne, sans partage d’identifiants.

La configuration du serveur est traitée dans la page sur le durcissement du serveur.

Décrire mon besoin →

Le devis d’un audit varie avec le périmètre, le mode et le contre-test

Le prix monte avec le nombre de modules à lire, la part de code sur mesure, le nombre d’environnements, le mode (comptes fournis, accès au code), et la présence d’un contre-test après correction. Demandez le périmètre ligne à ligne : deux devis ne se comparent qu’à périmètre égal.

Deux confusions réduisent un audit à une formalité

Un scan automatique remis comme un audit. Le référentiel demande d’identifier les activités réalisées en partie de façon automatique : exigez la mention.

Un rapport sans plan d’action daté. Rattachez chaque constat à une personne et à une échéance (déduction) ; l’audit de contrôle vérifie ensuite les mesures.

Le formulaire de cette page accueille, dans son message, le nombre de modules et l’environnement à tester ; n’y glissez aucun accès.

Sources consultées

• ANSSI, « PASSI, référentiel d’exigences », version 2.2 du 1er août 2024, exigences VI.2 à VI.7, consulté le 14 octobre 2026.
• ANSSI, « L’ANSSI met à jour les référentiels PASSI (version 2.2) et PRIS (version 3.0) », 29 novembre 2024, consulté le 14 octobre 2026.
• OWASP, « Web Security Testing Guide », version 4.2, avant-propos et table des matières, consulté le 14 octobre 2026.
• Cybermalveillance.gouv.fr, ministère de l’Intérieur et ANSSI, fiche réflexe « La défiguration », version V230417, consulté le 14 octobre 2026.
• Règlement (UE) 2016/679 (RGPD), article 32, Journal officiel de l’Union européenne, L 119 du 4 mai 2016, consulté le 14 octobre 2026.
• Friends of Presta, avis de sécurité du module upsshipping (CVE-2026-39079), consulté le 14 octobre 2026.
• PrestaShop, documentation utilisateur, « Équipe » et « Paramètres de performances » (PrestaShop 8, en français), « Performance » (PrestaShop 9), consulté le 14 octobre 2026.

Foire aux questions

Un audit de sécurité est-il obligatoire pour une boutique PrestaShop ?

L’article 32 du RGPD cite, parmi les mesures à mettre en œuvre selon les besoins, une procédure de test, d’analyse et d’évaluation régulière de l’efficacité des mesures. Le texte ne fixe pas la forme de ce test. Les exigences des réseaux de cartes bancaires relèvent de la page sur la conformité des paiements.

À quelle fréquence refaire un audit ?

Le texte du RGPD dit « régulièrement » sans fixer de durée. Un nouvel examen se justifie après un changement qui modifie la surface : migration de version, ajout d’un module de paiement, changement d’hébergeur (déduction).

Le prestataire doit-il être qualifié PASSI ?

La qualification est une garantie que vous pouvez exiger, pas une condition que le référentiel lu pose aux boutiques. Elle donne, selon l’ANSSI, des garanties sur l’impartialité, la compétence et la protection des informations ; la liste des prestataires qualifiés est publiée sur cyber.gouv.fr.

Faut-il prévenir l’hébergeur avant un test d’intrusion ?

Le référentiel veut que le commanditaire dispose des droits sur le périmètre, ou ait recueilli l’accord des parties dont les systèmes y entrent. Sur un serveur mutualisé, l’hébergeur en est une (déduction) : posez la question avant de fixer la date.