Une redirection vers un site inconnu, un compte administrateur que personne n’a créé, un formulaire de paiement qui a changé d’apparence, un avertissement de Google ou de votre hébergeur : ces signes doivent être pris au sérieux. Les étapes ci-dessous suivent l’ordre d’une réponse à incident. L’essentiel est de ne pas tout effacer dans la précipitation : sans traces, impossible de savoir par où l’attaquant est entré, et il reviendra par le même chemin.
Si vous n’êtes pas à l’aise avec ces opérations, faites appel dès le début à un professionnel de la sécurité ou à votre prestataire PrestaShop. En France, la plateforme cybermalveillance.gouv.fr oriente vers des prestataires et propose une aide aux victimes.
1. Isoler la boutique
- Passez la boutique en mode maintenance depuis le back-office de PrestaShop, en n’autorisant que votre adresse IP.
- Si un code malveillant vole des données de paiement ou si le back-office n’est plus accessible, demandez à votre hébergeur de couper l’accès public au site.
- Prévenez votre hébergeur : il peut vous fournir ses journaux, et d’autres sites sur le même serveur peuvent être concernés.
2. Préserver les traces avant de nettoyer
Avant toute suppression ou restauration, faites une copie complète de l’état actuel et conservez-la hors du serveur :
- tous les fichiers du site ;
- un export de la base de données ;
- les journaux du serveur web (accès et erreurs) et de PHP ;
- les journaux de vos outils de sécurité.
Notez aussi la date à laquelle vous avez remarqué le problème et ce que vous avez constaté, captures d’écran à l’appui. Ces éléments serviront à l’analyse, à une éventuelle plainte et à la déclaration à la CNIL.
Si Sentinel était installé, exportez sans attendre ses journaux de sécurité : ils sont conservés 7 jours. Ils peuvent contenir les échecs de connexion, les accès bloqués au back-office, les requêtes sensibles et, avec la version Pro, les attaques détectées.
3. Identifier le point d’entrée
Restaurer sans savoir comment l’attaquant est entré revient souvent à le laisser revenir. Les causes les plus fréquentes sont :
- un module ou une version de PrestaShop vulnérable : comparez vos versions aux failles publiées, ou lancez le scanner de vulnérabilités de Sentinel, qui liste les failles connues de votre installation ;
- un compte compromis : employé, FTP, SSH, panneau d’hébergement. Cherchez des comptes inconnus et des connexions inhabituelles ;
- un fichier déposé : script PHP inconnu dans les dossiers des images, des téléchargements ou des modules.
Recherchez dans les journaux du serveur les requêtes vers les fichiers suspects et la date de la première activité anormale. Cette date vous dira quelle sauvegarde est saine.
4. Restaurer une sauvegarde saine
- Choisissez une sauvegarde antérieure à la première trace d’intrusion.
- Restaurez fichiers et base de données, puis réintégrez avec prudence les commandes et clients enregistrés depuis, plutôt que de recopier toute la base compromise.
- Avant de remettre en ligne, mettez à jour PrestaShop et corrigez la faille identifiée : mise à jour, désinstallation du module en cause, suppression des fichiers déposés.
Sans sauvegarde saine, le nettoyage fichier par fichier est possible mais délicat : c’est le cas typique où un professionnel fait gagner du temps et évite les oublis.
5. Changer tous les secrets
Considérez que tout ce qui était stocké sur le serveur a pu être lu. Changez :
- les mots de passe de tous les employés du back-office, et supprimez les comptes inconnus ;
- le mot de passe de la base de données, puis mettez à jour la configuration de PrestaShop ;
- les accès FTP, SSH et au panneau d’hébergement ;
- les clés d’API : moyens de paiement, transporteurs, webservice PrestaShop, services d’e-mail ;
- les mots de passe des boîtes e-mail liées à la boutique.
Activez ensuite la double authentification sur le back-office. Sentinel la propose gratuitement : voir la page double authentification.
6. Vérifier l’intégrité des fichiers
Une fois la boutique restaurée, vérifiez qu’il ne reste aucun fichier modifié ou ajouté. Comparez les fichiers de PrestaShop et des modules avec les archives officielles de leurs versions.
Le contrôle d’intégrité de Sentinel Pro fait cette comparaison pour le cœur, les modules et les thèmes. Il signale les fichiers modifiés, manquants ou inattendus et affiche les différences ligne à ligne. Un module absent de sa base de référence peut être vérifié à partir de son archive ZIP. Il ne remplace pas l’analyse d’un professionnel, mais il montre rapidement où regarder.
7. Prévenir les personnes concernées
Si des données personnelles ont pu être consultées, copiées ou modifiées (comptes clients, adresses, commandes), le RGPD s’applique :
- Notifiez la CNIL dans les 72 heures après avoir pris connaissance de la violation, sauf si elle ne présente pas de risque pour les droits et libertés des personnes. La notification se fait en ligne, et peut être complétée ensuite si l’enquête est en cours.
- Informez les clients concernés dans les meilleurs délais si le risque pour eux est élevé, par exemple en cas de vol de mots de passe ou de données de paiement.
- Documentez l’incident en interne dans tous les cas, même sans notification : faits, effets, mesures prises.
Si des données de carte ont pu être interceptées, prévenez immédiatement votre prestataire de paiement. Vous pouvez aussi porter plainte, avec les éléments conservés à l’étape 2.
8. Éviter la récidive
Une boutique déjà attaquée est souvent visée de nouveau. Une fois la crise passée :
- tenez PrestaShop et les modules à jour, et vérifiez régulièrement les failles connues ;
- gardez des sauvegardes automatiques, conservées hors du serveur et testées ;
- protégez le back-office : comptes nominatifs, double authentification, accès réservé aux adresses de l’équipe ;
- surveillez les journaux et l’intégrité des fichiers.
Notre guide Comment sécuriser le back-office PrestaShop détaille ces mesures, et Comment savoir si mes modules PrestaShop sont vulnérables explique la vérification des modules. Avec la version Pro, le pare-feu WAF de Sentinel bloque les tentatives d’exploitation connues, et l’anti-DDoS limite les requêtes abusives. Le détail des offres est sur la page tarifs.