Les modules sont la partie d’une boutique PrestaShop qui change le plus : chacun a son éditeur, son rythme de mises à jour et ses propres failles. Quand une faille est découverte puis publiée, des robots cherchent rapidement les boutiques qui utilisent encore la version touchée. Savoir où vous en êtes est donc la base de toute démarche de sécurité.
Ce qu’est une vulnérabilité publiée
Une vulnérabilité connue reçoit en général un identifiant CVE, de la forme « CVE-année-numéro ». La fiche indique le composant concerné, les versions touchées, la version qui corrige le problème et un score de gravité CVSS, de 0 à 10.
Pour un marchand, trois informations comptent :
- le module et les versions touchées : votre version est-elle dans la plage ?
- la gravité : une injection SQL ou une exécution de code à distance passe avant un défaut d’affichage ;
- le correctif : existe-t-il une version corrigée, et est-elle disponible pour votre version de PrestaShop ?
Méthode manuelle, étape par étape
1. Dresser la liste de vos modules
Dans le gestionnaire de modules de PrestaShop, notez pour chaque module installé son nom technique, sa version et son éditeur. N’oubliez pas les modules désactivés : leurs fichiers restent sur le serveur et peuvent rester exploitables. Faites de même pour la version de PrestaShop elle-même.
2. Consulter les sources de failles
Pour chaque module, recherchez les failles publiées :
- les bases CVE publiques, en cherchant le nom technique du module ;
- les avis de sécurité publiés par la communauté PrestaShop, notamment ceux de l’association Friends of Presta ;
- le journal des modifications de l’éditeur, et la fiche du module sur PrestaShop Addons, qui signalent parfois une « correction de sécurité » sans numéro CVE.
3. Comparer les versions
Si votre version est égale ou inférieure à la dernière version touchée, le module est vulnérable. Si la fiche ne précise pas la version corrigée, contactez l’éditeur avant de conclure.
4. Recommencer régulièrement
De nouvelles failles sont publiées en continu. Une vérification n’est valable qu’à la date où elle a été faite : refaites-la après chaque installation ou mise à jour de module, et au moins une fois par mois.
Cette méthode fonctionne, mais elle est longue dès que la boutique compte des dizaines de modules, et un module peut facilement passer entre les mailles.
Automatiser la vérification avec un scanner
Un scanner de vulnérabilités fait la même comparaison à votre place. Le scanner de vulnérabilités de Sentinel analyse le cœur PrestaShop et les modules installés, puis classe les failles trouvées par sévérité (critique, élevée, moyenne, faible) avec leur référence CVE, leur score CVSS, les versions touchées et des liens vers les sources.
- Il ne transmet que les versions de PrestaShop, de PHP et des modules : aucune donnée client ni commande.
- Vous gardez l’historique des scans et pouvez exporter un rapport en CSV, JSON ou TXT.
- Si vous avez corrigé une faille autrement que par une mise à jour, vous pouvez la marquer comme corrigée.
En version gratuite, Sentinel permet un scan par 24 heures et couvre les failles publiées depuis plus de 30 jours. La version Pro lève la limite de scans, inclut les failles les plus récentes, y compris celles publiées le jour même, et peut lancer un scan automatique chaque jour avec un rapport par e-mail.
Que faire quand un module est vulnérable
Traitez d’abord les failles critiques et élevées.
- Mettez à jour le module si une version corrigée existe. Faites une sauvegarde avant, et vérifiez ensuite le fonctionnement de la boutique.
- S’il n’y a pas de correctif, désactivez le module, puis désinstallez-le et supprimez ses fichiers si vous pouvez vous en passer. Demandez à l’éditeur une date de correction.
- Si le module est indispensable et sans correctif, faites-vous accompagner par un développeur pour appliquer un correctif ou un contournement. Un pare-feu applicatif peut bloquer les tentatives d’exploitation connues en attendant : c’est le rôle du pare-feu WAF de Sentinel Pro, dont les signatures sont mises à jour sans attendre une nouvelle version du module.
- Mettez à jour PrestaShop si la faille touche le cœur.
- Relancez un scan pour confirmer que la faille n’apparaît plus.
Une faille corrigée a pu être exploitée avant
Mettre à jour un module ferme la porte, mais ne dit rien de ce qui a pu entrer avant. Si un module est resté longtemps dans une version vulnérable, cherchez des traces d’intrusion :
- des comptes employés que vous ne connaissez pas ;
- des fichiers PHP inconnus ou modifiés dans les dossiers des modules, du thème ou des images ;
- des requêtes inhabituelles vers ce module dans les journaux du serveur.
Le contrôle d’intégrité de Sentinel Pro compare les fichiers du cœur, des modules et des thèmes à leur version de référence et signale les fichiers modifiés, manquants ou inattendus, avec un comparatif ligne à ligne. Si vous trouvez des signes de compromission, suivez notre guide Boutique PrestaShop piratée : que faire.
Les bonnes habitudes
- N’installez que des modules dont l’éditeur publie des mises à jour.
- Supprimez ce qui ne sert plus.
- Notez quelque part la liste de vos modules et de leurs éditeurs.
- Vérifiez les failles après chaque changement, et au moins une fois par mois.
Pour protéger aussi l’accès à l’administration, consultez notre guide Comment sécuriser le back-office PrestaShop. Sentinel Free s’installe en quelques minutes ; les différences entre Free et Pro sont sur la page tarifs.