Le back-office est la porte d’entrée la plus précieuse d’une boutique PrestaShop : un compte administrateur permet de modifier les prix, les moyens de paiement, les modules installés et d’accéder aux données des clients. Les mesures ci-dessous se cumulent. Aucune ne suffit seule, mais ensemble elles ferment les chemins les plus fréquents.
1. Mettre à jour PrestaShop et les modules
Une faille connue dans le cœur de PrestaShop ou dans un module peut permettre d’entrer sans mot de passe. C’est pourquoi la première mesure n’a rien à voir avec la page de connexion.
- Appliquez les versions correctives de PrestaShop dès leur publication, après une sauvegarde.
- Mettez à jour les modules depuis le gestionnaire de modules ou auprès de leur éditeur.
- Désinstallez puis supprimez les modules que vous n’utilisez plus : un module désactivé laisse ses fichiers sur le serveur.
Pour savoir lesquels de vos modules ont une vulnérabilité connue, lisez notre guide Comment savoir si mes modules PrestaShop sont vulnérables.
2. Garder un dossier d’administration imprévisible
PrestaShop demande que le dossier d’administration porte un autre nom que admin. Choisissez un nom aléatoire, qui ne se devine pas à partir du nom de la boutique, et ne le publiez nulle part : ni dans un ticket public, ni dans une capture d’écran partagée. Si ce nom a circulé, renommez le dossier.
Cette mesure ne protège pas à elle seule : elle évite surtout que des robots trouvent la page de connexion du premier coup.
3. Un compte par personne, avec les bons droits
- Créez un compte employé nominatif pour chaque personne, prestataires compris. Ne partagez jamais un même identifiant.
- Attribuez à chacun un profil limité à ce dont il a besoin : un préparateur de commandes n’a pas besoin de gérer les modules.
- Réservez le profil SuperAdmin à une ou deux personnes.
- Désactivez sans attendre le compte d’une personne qui quitte l’entreprise ou d’un prestataire dont la mission est terminée.
Les comptes oubliés sont un risque classique : personne ne remarque qu’ils sont utilisés.
4. Des mots de passe longs et uniques
Chaque employé doit utiliser un mot de passe long, qui ne sert nulle part ailleurs. Un gestionnaire de mots de passe rend cette règle facile à tenir. Changez immédiatement un mot de passe envoyé par e-mail, noté dans un document partagé ou utilisé sur un autre site victime d’une fuite.
5. Activer la double authentification
La double authentification demande, après le mot de passe, une seconde preuve : un code à usage unique généré par une application sur téléphone, ou une clé de sécurité. Un mot de passe volé ou deviné ne suffit plus pour entrer.
Sentinel l’ajoute gratuitement au back-office : application d’authentification (TOTP), passkeys et clés de sécurité FIDO2, codes de secours à usage unique et appareils de confiance. Vous pouvez la rendre obligatoire pour un profil d’employés, fixer un délai de mise en conformité et suivre qui l’a activée. Le détail est sur la page double authentification.
6. Réserver l’accès aux adresses IP de l’équipe
Si votre équipe travaille depuis des adresses IP fixes (bureau, VPN), vous pouvez réserver le back-office à ces seules adresses. Un visiteur extérieur ne voit alors même pas la page de connexion.
Deux façons de le faire :
- au niveau du serveur, par une règle de votre hébergeur ou du fichier de configuration du serveur web ;
- avec le contrôle d’accès au back-office de Sentinel, gratuit : vous saisissez les adresses IPv4, IPv6 ou plages autorisées, et toute autre adresse est redirigée vers la page 404 de la boutique. La boutique reste accessible aux clients. Sentinel refuse d’enregistrer une liste qui ne contient pas votre propre adresse, pour éviter de vous bloquer.
Si votre boutique passe par Cloudflare, un CDN ou un reverse proxy, déclarez-le avant d’activer le filtrage, sinon le serveur ne voit que l’adresse du proxy.
7. Limiter les tentatives de connexion
Une attaque par brute force essaie un grand nombre de mots de passe sur la page de connexion. Sans limite, rien ne l’arrête à part la solidité du mot de passe.
Certains hébergeurs proposent un filtrage de ce type. Sentinel Pro bannit temporairement du back-office l’adresse à l’origine de trop d’échecs de connexion, selon un seuil, une fenêtre et une durée que vous réglez. Les clients qui partagent cette adresse peuvent toujours commander sur la boutique. La double authentification bloque aussi l’adresse après plusieurs codes erronés d’affilée, y compris en version gratuite.
8. Surveiller les connexions et les comptes
Une protection n’est utile que si quelqu’un regarde ce qui se passe :
- Vérifiez régulièrement la liste des employés et leur dernière connexion.
- Examinez les échecs de connexion répétés et les adresses inconnues.
- Désactivez les comptes restés longtemps inutilisés.
Les journaux de sécurité de Sentinel, gratuits, enregistrent les échecs de connexion, les accès bloqués au back-office et les événements de double authentification, avec filtres par date, IP et type. Sentinel peut aussi désactiver automatiquement les comptes employés qui n’ont pas utilisé le back-office depuis un nombre de jours choisi, sans jamais supprimer de compte.
Et côté hébergement
Quelques mesures relèvent de votre hébergeur ou de votre prestataire :
- servir tout le site, back-office compris, en HTTPS ;
- garder une version de PHP maintenue ;
- disposer de sauvegardes automatiques des fichiers et de la base, conservées hors du serveur et testées ;
- protéger les accès FTP, SSH et au panneau d’hébergement avec la même rigueur que le back-office.
Par où commencer
Si vous ne deviez faire que trois choses cette semaine : mettre à jour vos modules, activer la double authentification sur chaque compte administrateur et faire le ménage dans les comptes employés. Sentinel Free couvre la double authentification, le filtrage IP, les journaux et le scanner de vulnérabilités ; il s’installe en quelques minutes. Les fonctions Pro sont détaillées sur la page tarifs.