Un propriétaire de magasin ne remarque généralement une attaque par force brute qu'après que la page de connexion commence à se comporter étrangement, par exemple par des échecs de connexion répétés, des adresses IP inconnues dans les journaux ou une baisse des performances du magasin.
Un script automatisé tente de saisir plusieurs mots de passe via un formulaire de connexion. Une tentative réussie peut donner à un attaquant l'accès à l'interface d'administration de votre boutique et lui permettre de modifier les données produits, de télécharger les informations clients, de modifier les paramètres, d'installer des modules ou de perturber le fonctionnement de la boutique.
Alors, comment sécuriser une boutique PrestaShop contre les attaques par force brute ?
Ne vous fiez pas à un seul paramètre. Commencez par protéger les comptes administrateurs, renforcez la sécurité des connexions automatisées, ajoutez un facteur d'authentification supplémentaire, limitez les accès non essentiels, maintenez PrestaShop et ses modules à jour et assurez-vous de pouvoir détecter et corriger toute activité suspecte. Les recommandations de sécurité actuelles de PrestaShop préconisent également l'utilisation de comptes uniques, une gestion rigoureuse des identifiants, l'utilisation de pare-feu, la mise à jour régulière des sauvegardes et la mise à jour des modules.
Le reste du travail consiste à faire en sorte que ces pratiques fonctionnent ensemble.
1.0 Commencez par les services administratifs, pas par la surface de vente.
Pour la plupart des boutiques, l'interface d'administration de PrestaShop est le premier endroit à examiner.
Les clients ont besoin d'accéder à la boutique en ligne, mais pas à votre espace d'administration. Cette distinction fait de l'interface d'administration un endroit utile pour ajouter des restrictions supplémentaires.
Une mesure simple consiste à éviter d'utiliser une URL d'administration facilement prévisible. Modifier le répertoire d'administration par défaut peut réduire l'exposition aux scanners automatisés qui recherchent les chemins d'administration courants.
Il ne s'agit pas d'une barrière de sécurité à proprement parler. Un attaquant qui découvre la nouvelle URL peut toujours accéder à la page de connexion. Il faut plutôt considérer cela comme une réduction de l'exposition inutile que comme un remplacement des contrôles d'authentification.
Un autre point pratique se pose : veillez à ce que la nouvelle URL ne soit pas si obscure que votre équipe puisse la perdre de vue. Stockez cette information en lieu sûr et documentez-la à l’intention des personnes chargées de la gestion de la boutique.
2.0 Ne considérez pas une URL d'administration cachée comme une protection contre les attaques par force brute.
C'est une erreur facile à commettre.
Une URL d'administration modifiée peut empêcher un scanner basique de trouver la page de connexion, mais elle n'empêchera pas une personne connaissant déjà l'adresse d'y accéder. De même, elle sera inefficace si le mot de passe d'un administrateur a été compromis.
La sécurité du panneau d'administration doit donc comporter plusieurs contrôles indépendants. Si un niveau de sécurité tombe en panne, un autre doit pouvoir prendre le relais.
3.0 Attribuer un compte distinct à chaque administrateur
Si cinq personnes gèrent un magasin, ne leur donnez pas à toutes les cinq les mêmes identifiants d'administrateur.
PrestaShop recommande de créer des comptes et des profils différents pour les personnes effectuant différents types de tâches et de révoquer les accès administrateur qui ne sont plus nécessaires.
C'est utile à la fois pour la sécurité et la responsabilisation.
Supposons qu'un développeur ait besoin d'accéder à un module pour le modifier, tandis qu'un employé du service client n'ait besoin que de gérer les commandes. Leurs autorisations ne devraient pas nécessairement être identiques.
L'utilisation de comptes séparés facilite grandement les enquêtes. En cas d'incident, il est possible d'identifier le compte concerné au lieu de chercher qui utilisait un identifiant partagé.
Pour un commerçant, un rapide examen de ses comptes est utile :
Supprimez les comptes des anciens employés et des agences obsolètes. Vérifiez si chaque administrateur a toujours besoin d'un accès back-office. N'accordez aux employés que les autorisations nécessaires à leur travail. Ne partagez pas le compte SuperAdmin. Utilisez un gestionnaire de mots de passe pour les identifiants d'administrateur.
Ce sont de petits changements, mais ils permettent d'éliminer plusieurs faiblesses évitables d'un coup.
4.0 Utilisez des mots de passe forts et uniques
La protection contre les attaques par force brute commence par le mot de passe lui-même.
N’utilisez pas le nom de la boutique, le nom de domaine, le nom de l’entreprise, ni aucune variante prévisible de l’un de ces éléments. Plus important encore, ne réutilisez pas le mot de passe administrateur de PrestaShop ailleurs.
Le bourrage d'identifiants est particulièrement pertinent ici. Un attaquant n'a pas toujours besoin de deviner un mot de passe caractère par caractère. Si un mot de passe et une adresse e-mail ont déjà été divulgués lors d'une fuite de données ailleurs, des outils automatisés peuvent tester ces identifiants sur votre boutique.
Un gestionnaire de mots de passe simplifie considérablement la gestion des mots de passe uniques. PrestaShop recommande d'ailleurs d'utiliser un gestionnaire d'identifiants et de mots de passe et de protéger soigneusement ses identifiants pour l'administration, l'hébergement, le FTP et les autres services.
Il y a aussi un point plus général : protéger le mot de passe de PrestaShop tout en laissant le compte d’hébergement protégé par un mot de passe faible et réutilisé ne résout pas le problème de fond. Vos identifiants d’hébergement, de base de données, FTP, de messagerie et d’administration doivent être considérés comme des systèmes de sécurité distincts.
5.0 Ajouter l'authentification à deux facteurs à l'accès administrateur
Les mots de passe ne constituent qu'une partie de l'authentification.
Si le mot de passe d'un administrateur est volé par hameçonnage, logiciel malveillant ou autre service compromis, un deuxième facteur d'authentification peut empêcher l'attaquant d'accéder directement à l'interface d'administration.
C’est pourquoi un module d’authentification à deux facteurs PrestaShop peut être utile pour les boutiques qui ont besoin d’une protection supplémentaire concernant les connexions administrateur.
La mise en œuvre exacte dépend de votre version de PrestaShop et de l'extension choisie. Avant toute installation, vérifiez la compatibilité et assurez-vous de bien comprendre quels comptes et flux de connexion sont protégés.
Le principe est simple : ne pas faire en sorte qu’un mot de passe volé suffise pour accéder à un compte privilégié.
Pour une boutique comptant plusieurs administrateurs, c'est particulièrement précieux. Un seul mot de passe compromis ne devrait pas automatiquement donner à quelqu'un un accès administrateur complet.
6.0 Ralentir les tentatives de connexion répétées
C’est là que la protection contre les attaques par force brute de PrestaShop devient plus spécifique.
Imaginez qu'un attaquant envoie des centaines, voire des milliers, de requêtes de connexion. Si chaque requête est traitée exactement de la même manière qu'une connexion normale, l'attaquant peut continuer à essayer.
La limitation du débit change cela.
Selon la mise en œuvre, des échecs répétés peuvent déclencher des contrôles de plus en plus stricts, tels que :
Délai entre les tentatives de connexion Blocage temporaire CAPTCHA ou autre défi Restrictions basées sur l'adresse IP Restrictions au niveau du compte Alertes en cas d'activité d'authentification inhabituelle
La mise en œuvre nécessite toutefois une certaine attention.
Le verrouillage permanent d'un compte après quelques échecs de connexion semble sécurisé, mais il peut engendrer un autre problème : un attaquant pourrait intentionnellement déclencher ce verrouillage et empêcher ainsi l'administrateur légitime de se connecter.
C’est pourquoi il est généralement préférable de combiner les contrôles au niveau du compte avec l’adresse IP, le taux de requêtes et les signaux comportementaux plutôt que de se fier entièrement à une simple règle du type « cinq échecs et blocage du compte ».
7.0 CAPTCHA peut aider, mais ne vous y fiez pas uniquement.
Un module captcha peut ajouter des obstacles aux tentatives de connexion automatisées.
Le CAPTCHA n'a rien de magique.
Certains systèmes automatisés peuvent contourner les contrôles de sécurité les moins efficaces, et imposer un CAPTCHA à chaque client légitime peut dégrader son expérience d'achat. Il est généralement plus judicieux de l'intégrer à une stratégie anti-abus plus globale.
8.0 Installez un pare-feu entre les attaquants et PrestaShop.
Toutes les requêtes malveillantes n'ont pas besoin d'atteindre l'application.
Un pare-feu ou un pare-feu d'application web peut filtrer le trafic avant qu'il n'atteigne le processus de connexion à PrestaShop. Selon votre configuration d'hébergement, cette protection peut être assurée par votre hébergeur, un CDN, un proxy inverse, la configuration de votre serveur ou une solution de sécurité applicative dédiée.
Le module pare-feu peut fournir une couche supplémentaire, mais il ne doit pas être automatiquement considéré comme un substitut à la protection au niveau de l'infrastructure.
La configuration appropriée dépend de l'hébergement de votre boutique.
Une disposition en couches utile pourrait ressembler à ceci :
Internet → CDN/WAF → Serveur Web → PrestaShop → Contrôles d'authentification → Administrateur
Chaque couche a une fonction différente.
Le pare-feu peut traiter les schémas de trafic suspects. Le serveur web peut appliquer des règles d'accès. PrestaShop gère l'authentification et les autorisations. L'authentification multifacteur (MFA) protège le compte en cas de compromission du mot de passe.
C'est beaucoup plus efficace que de demander à un seul composant de tout faire.
9.0 Limiter l'accès au back-office lorsque cela est pertinent
Certaines entreprises disposent d'un environnement administratif relativement contrôlé. Leurs employés travaillent à partir d'un réseau d'entreprise connu ou se connectent via un VPN d'entreprise.
Dans ce cas, il peut être judicieux d'envisager de restreindre l'accès administrateur aux réseaux de confiance.
L'autorisation des adresses IP peut être efficace, mais elle ne convient pas à tous les commerces. Le télétravail, les adresses IP dynamiques, les VPN, les réseaux mobiles et les agences tierces peuvent compliquer la mise en œuvre de cette règle.
Un commerçant travaillant à domicile, par exemple, pourrait constater qu'une restriction stricte des adresses IP engendre plus de problèmes opérationnels que d'avantages en matière de sécurité.
N’ajoutez donc pas une règle d’accès simplement parce qu’elle figure dans une liste de contrôle de sécurité. Commencez par comprendre comment votre équipe accède réellement à la boutique.
10.0 Maintenez PrestaShop et ses modules à jour.
La protection contre les attaques par force brute ne sera d'aucune utilité si un attaquant parvient à contourner le système de connexion grâce à une vulnérabilité sans lien avec le système principal.
PrestaShop recommande actuellement de maintenir ses modules à jour et de vérifier attentivement leur provenance. Ses recommandations de mise à jour préconisent également de vérifier la compatibilité des modules et des thèmes, de supprimer les composants obsolètes, de tester les mises à jour dans un environnement de préproduction et de conserver des sauvegardes testées.
C'est important car les modules tiers deviennent une partie de la surface d'attaque de votre boutique.
Avant d'installer une extension, posez-vous les questions suivantes :
Ce produit est-il compatible avec ma version de PrestaShop ? Le développeur assure-t-il une maintenance active ? Quand a-t-il été mis à jour pour la dernière fois ? Provient-il d'une source fiable ? Permet-il d'accéder inutilement à des données sensibles ? Puis-je le supprimer s'il n'est plus pris en charge ?
Ne laissez pas d'anciens modules installés simplement parce qu'ils ne sont plus utilisés.
Les logiciels inutilisés doivent néanmoins être entretenus. S'ils ne sont pas nécessaires, il est souvent plus simple de les supprimer que de se souvenir de les sécuriser indéfiniment.
11.0 Protéger le serveur ainsi que PrestaShop
Votre boutique ne se limite pas au tableau de bord PrestaShop.
Il y a également le serveur web, l'environnement PHP, la base de données, le panneau de contrôle d'hébergement, l'accès FTP/SFTP, les tâches planifiées, le système de fichiers et éventuellement un CDN ou un proxy inverse.
Une démarche judicieuse de renforcement de la sécurité de l'interface d'administration de PrestaShop devrait inclure ces éléments.
Par exemple, les identifiants d'administrateur ne seront pas d'une grande utilité si un attaquant a déjà accédé au compte d'hébergement. De même, la protection du back-office n'empêche pas un module obsolète de devenir une porte d'entrée.
Review:
Identifiants du compte d'hébergement Accès FTP/SFTP Identifiants de la base de données Permissions des fichiers Configuration HTTPS Versions du serveur et de PHP Modules et thèmes inutilisés Fichiers sensibles accessibles publiquement Configuration du pare-feu et du WAF
La documentation actuelle de PrestaShop recommande également des pare-feu appropriés et des sauvegardes fiables pour sécuriser la boutique.
12.0 Surveillez les journaux
Une attaque par force brute laisse des traces.
Vous pourriez observer de nombreuses requêtes infructueuses adressées au même point de terminaison de connexion, des tentatives répétées sur plusieurs comptes d'employés ou du trafic provenant de sources inhabituelles.
Vous n'avez pas besoin d'une plateforme de surveillance de sécurité énorme pour commencer à y prêter attention.
À tout le moins, sachez où votre fournisseur d'hébergement conserve les journaux de serveur web et où les événements de sécurité liés à PrestaShop peuvent être consultés.
Recherchez des tendances plutôt qu'un échec de connexion isolé.
Par exemple, cinq tentatives de connexion infructueuses réparties sur plusieurs jours ne sont peut-être pas significatives. En revanche, cinq cents tentatives effectuées en peu de temps depuis plusieurs adresses méritent une enquête.
Soyez également attentif aux connexions réussies qui surviennent immédiatement après de nombreux échecs. Cela ne constitue pas une preuve de compromission, mais un indice utile à examiner.
13.0 Les sauvegardes font partie de la sécurité
On a souvent tendance à considérer les sauvegardes comme quelque chose de nécessaire après une panne de serveur.
Elles sont tout aussi importantes après un incident de sécurité.
Si un attaquant modifie des fichiers, change la configuration, endommage la base de données ou perturbe d'une autre manière le système, vous avez besoin d'un moyen fiable de revenir à un état fonctionnel connu.
PrestaShop recommande de conserver des sauvegardes complètes et testées, y compris des fichiers et de la base de données, et ses instructions de mise à jour recommandent spécifiquement de vérifier que la restauration fonctionne effectivement.
Ne présumez pas qu'une sauvegarde existe simplement parce que votre panneau d'hébergement indique « sauvegarde quotidienne ».
Essaye-le.
Une sauvegarde qui ne peut pas être restaurée en cas de besoin ne constitue pas un plan de récupération efficace.
Il est également préférable de conserver les copies de sauvegarde séparées de l'environnement de production afin qu'une compromission du serveur ne compromette pas automatiquement toutes les sauvegardes disponibles.
Si votre hébergeur ne propose pas de service de sauvegarde, le module Backup & Restore peut également être envisagé.
14.0 Où un module de sécurité PrestaShop trouve sa place
Les propriétaires de boutiques qui ne souhaitent pas mettre en place eux-mêmes tous les contrôles de sécurité peuvent envisager un module de sécurité dédié pour PrestaShop.
Knowband Prestashop Advanced Security Manager est une option intéressante à évaluer si vous souhaitez renforcer la sécurité de votre boutique PrestaShop. L'important est de comparer ses fonctionnalités aux besoins spécifiques de votre boutique plutôt que de supposer que toutes les extensions de sécurité répondent aux mêmes exigences.
Il doit également compléter — et non remplacer — une bonne sécurité d'hébergement, des mots de passe robustes, la gestion des accès administrateurs, les mises à jour, les sauvegardes et la surveillance.
Avant d'installer une extension de sécurité, vérifiez sa compatibilité avec votre version de PrestaShop et examinez attentivement les modifications qu'elle apporte. Un outil de sécurité devient un composant à part entière de votre environnement de production ; il convient donc de le gérer avec le même soin que le reste de votre boutique.
15.0 Un plan de renforcement réaliste pour un propriétaire de magasin
Vous n'êtes pas obligé de tout régler en un après-midi.
Si votre magasin est aujourd'hui très peu protégé, commencez par les contrôles qui vous apporteront la plus grande amélioration sans créer de complexité opérationnelle inutile.
Aujourd'hui, modifiez les mots de passe d'administrateur faibles ou réutilisés. Supprimez les anciens comptes d'administrateur. Vérifiez qui a actuellement accès à l'interface d'administration. Assurez-vous que l'URL d'administration n'utilise pas un chemin par défaut évident.
Ensuite, ajoutez l'authentification à deux facteurs lorsque cela est approprié. Mettez en place une limitation du débit ou une protection contre les tentatives de connexion. Envisagez l'utilisation d'un CAPTCHA pour le trafic d'authentification suspect. Examinez les options de pare-feu ou de WAF proposées par votre hébergeur.
Lors de la maintenance courante : mettez à jour PrestaShop et les modules tiers ; supprimez les extensions inutiles ; vérifiez les permissions d’administrateur ; consultez les journaux de sécurité et du serveur ; assurez-vous que les sauvegardes sont en cours.
Effectuez régulièrement des tests de restauration de sauvegarde. Vérifiez vos comptes d'hébergement et FTP/SFTP. Auditez les modules tiers. Identifiez les personnes ayant encore besoin d'un accès administrateur. Assurez-vous que votre configuration de sécurité est toujours adaptée à votre activité.
Ce dernier point est facile à négliger. Une configuration de sécurité appropriée il y a deux ans peut ne plus l'être après un changement d'hébergeur, l'ajout de télétravailleurs, l'installation de nouvelles intégrations ou la migration vers une autre version de PrestaShop.
16.0 Si vous constatez une vague soudaine d'échecs de connexion
Ne présumez pas immédiatement que le magasin a été compromis.
Premièrement, vérifiez les preuves.
Analysez le nombre et le moment des tentatives infructueuses. Vérifiez si des connexions administrateur ont réussi. Examinez les modifications récentes apportées aux employés, aux modules, à la configuration et aux fichiers.
Si vous constatez une preuve d'accès non autorisé, traitez-la comme un incident plutôt que de simplement changer un mot de passe et de passer à autre chose.
Modifiez les identifiants concernés depuis un appareil de confiance, vérifiez les comptes administrateur, recherchez la source de l'accès, contrôlez les modifications inattendues et contactez votre hébergeur ou un spécialiste en sécurité si nécessaire. Comme le souligne TPx , agir rapidement et méthodiquement après un incident permet de limiter les dégâts.
Plus important encore, découvrez pourquoi l'agresseur est parvenu à aller aussi loin.
Si le problème provient d'un mot de passe réutilisé, corrigez le processus de gestion des mots de passe. Si un module obsolète est impliqué, supprimez-le ou mettez-le à jour. Si le compte administrateur ne dispose pas d'une authentification à deux facteurs, envisagez d'en ajouter une.
Dernier plat à emporter
Une bonne sécurité de connexion ne consiste pas à trouver un paramètre unique et parfait. Il s'agit de rendre une attaque réussie progressivement plus difficile.
Utilisez des comptes et mots de passe d'administrateur uniques. Activez l'authentification multifacteur (MFA). Limitez les tentatives de connexion répétées. Anticipez les automatisations suspectes. Mettez en place un pare-feu adapté pour protéger votre boutique. Assurez la maintenance de PrestaShop et de ses modules. Surveillez l'activité et effectuez des sauvegardes régulières.
Si vous souhaitez ajouter une couche de sécurité dédiée, évaluez Knowband Prestashop Advanced Security Manager en complément des contrôles déjà fournis par votre hébergement et votre configuration PrestaShop.
Commencez dès aujourd'hui par les comptes administrateur. Ensuite, progressez à partir de la page de connexion jusqu'au serveur, au réseau et enfin à votre processus de récupération. Cela offre au propriétaire d'un magasin une méthode pratique pour renforcer la protection contre les attaques par force brute sans complexifier inutilement la sécurité.
Pour toute question ou assistance concernant les performances ou la migration de votre site web, nos experts sont à votre disposition. Contactez l'équipe Knowband à l'adresse [email protected] dès aujourd'hui pour obtenir des plugins e-commerce fiables et adaptés à vos besoins.
