Ce qu'un audit de sécurité de boutique en ligne doit vous fournir
Que votre boutique tourne sous Shopify ou sous PrestaShop, un audit sérieux se reconnaît à six éléments. Exigez-les avant de signer : ce sont eux qui permettent de juger le travail.
1. Un périmètre écrit
La liste de ce qui est audité (boutique, back-office, applications ou modules, API, serveur) et de ce qui ne l'est pas, la version exacte et les dates du test.
2. Des vulnérabilités classées par criticité
Chaque faille avec sa gravité (critique, élevée, moyenne, faible, ou un score CVSS) et son impact concret sur la boutique : vol de données clients, détournement de paiement, prise de contrôle de l'administration.
3. Des preuves techniques
Pour chaque faille, la requête, la capture ou l'extrait de code qui la démontre, et les étapes pour la reproduire. Une faille sans preuve ne se corrige pas, elle se discute.
4. Des recommandations priorisées
La correction à appliquer pour chaque faille, dans l'ordre où la faire : d'abord ce qui expose les paiements et les données clients, ensuite le reste.
5. Une contre-vérification après correction
Une seconde passe sur la boutique corrigée, qui confirme faille par faille ce qui est réglé. C'est la preuve à montrer à votre banque, à votre prestataire de paiement ou à un client.
6. La confidentialité
Un accord de confidentialité signé avant tout accès, des comptes de test créés pour l'audit et supprimés après, et la destruction des données collectées à la fin de la mission.
La différence entre les deux plateformes tient au périmètre : Shopify héberge et maintient la plateforme, l'audit porte donc sur ce que vous y avez configuré et ajouté ; une boutique PrestaShop est hébergée par vous, l'audit descend donc jusqu'au code, aux modules, à PHP et à la base de données. Cartes copiées, fausse page de paiement, IBAN remplacé : les contrôles propres au détournement de paiement sur Shopify et PrestaShop sont détaillés dans notre guide.
Publication de mission
Commission sur la mission
Dépôt sécurisé, versé à la livraison
Par proposition d'expert
Audit Shopify ou audit PrestaShop : deux périmètres différents
Le même mot, « audit de sécurité », ne recouvre pas le même travail selon la plateforme.
Boutique Shopify
Shopify héberge la boutique et sécurise son infrastructure. Ses serveurs ne font pas partie de votre audit : l'expert vérifie ce que vous avez configuré et installé.
Configuration et comptes
Comptes du personnel et leurs droits, double authentification, comptes d'anciens prestataires encore actifs, accès collaborateurs donnés à des agences.
Applications installées
Chaque application et les autorisations qu'elle a reçues : lecture des clients, des commandes, modification du thème. Une application abandonnée garde souvent ses accès.
API et intégrations
Applications personnalisées, jetons d'accès à l'API, webhooks, connexions à l'ERP, au logiciel de stock ou à l'outil d'e-mailing : où sont stockés les jetons et ce qu'ils permettent.
Thème et scripts
Code Liquid modifié, scripts tiers ajoutés aux pages (suivi, chat, avis), données exposées dans le code de la page, protection contre l'injection de script qui copie les saisies.
Boutique PrestaShop
PrestaShop est installé sur votre hébergement : sa sécurité est entièrement à votre charge, du code jusqu'au serveur.
Code et version
Version de PrestaShop et correctifs de sécurité appliqués, surcharges du cœur (overrides), code spécifique développé pour la boutique.
Modules
Modules tiers installés, à jour ou non, et leurs failles connues : injection SQL, téléversement de fichiers, accès sans authentification. Les modules sont la première source de failles d'une boutique PrestaShop.
PHP et serveur
Version de PHP, configuration du serveur, droits sur les fichiers, dossier d'administration, fichiers d'installation ou de sauvegarde restés en ligne, mode débogage.
Base de données
Accès à la base, comptes administrateurs, stockage des mots de passe et des données clients, sauvegardes : où elles sont, qui peut les lire.
Ce que l'auditeur vérifie sur toute boutique
Les points de contrôle communs aux deux plateformes, centrés sur l'argent et les données clients.
Le tunnel de paiement
Les pages de commande et de paiement, les scripts qui y sont chargés, le retour du prestataire de paiement : rien ne doit permettre de détourner un paiement ni de copier une carte.
L'administration
Mots de passe, double authentification, limitation des tentatives de connexion, comptes inutiles, accès donnés à des prestataires.
Les comptes clients
Création de compte, connexion, mot de passe oublié, accès aux commandes d'un autre client en changeant un numéro dans l'adresse.
Les données personnelles
Ce qui est collecté, où c'est stocké, qui y a accès, ce qui part chez des services tiers : la base de vos obligations RGPD.
Les ajouts tiers
Applications, modules, scripts de suivi et intégrations : chacun est une porte d'entrée possible, avec ses propres accès.
La capacité à réagir
Sauvegardes testées, journaux d'activité conservés, contacts à prévenir : ce qui permet de constater une attaque et de remettre la boutique en ligne.
Comment se déroule un audit de sécurité e-commerce
Du cadrage à la contre-vérification, cinq étapes.
Cadrage et autorisation
Périmètre, dates, comptes de test, environnement de recette s'il existe, accord de confidentialité et autorisation écrite de tester la boutique.
Inventaire
Liste des applications ou modules, des intégrations, des comptes, des scripts tiers, de la version de la plateforme et, sur PrestaShop, de l'hébergement.
Tests et revue
Test du parcours client et du back-office comme le ferait un attaquant, revue de la configuration et, sur PrestaShop, du code des modules et des surcharges.
Rapport
Synthèse pour la direction, failles classées par criticité avec leurs preuves, corrections priorisées.
Contre-vérification
Après vos corrections, l'expert vérifie chaque faille et met le rapport à jour.
Le brief à fournir à l'auditeur
Rassemblez ces éléments avant de publier votre mission : ils fixent la durée et le prix de l'audit.
La plateforme et sa version
Shopify, ou PrestaShop avec son numéro de version, et l'hébergeur s'il s'agit de PrestaShop.
Les applications ou modules
La liste de ce qui est installé, avec ce qui a été développé sur mesure pour la boutique.
Les intégrations
ERP, logistique, place de marché, e-mailing, prestataire de paiement : tout ce qui échange des données avec la boutique.
Le périmètre
Boutique de production ou de recette, back-office compris ou non, API comprise ou non, et ce qui est hors limites.
Les accès et la confidentialité
Comptes de test à créer, accès en lecture seule au code pour PrestaShop, accord de confidentialité à signer avant tout accès.
Le délai et le livrable
La date à laquelle vous avez besoin du rapport, et si la contre-vérification après correction fait partie de la mission.
Confier l'audit de votre boutique sur Hackersdate
Hackersdate met en relation des boutiques et des organisations avec des experts en cybersécurité indépendants.
Publiez votre mission
Reprenez les éléments du brief. Ne mettez aucun accès ni mot de passe dans l'annonce : ils se transmettent ensuite à l'expert retenu. La publication est gratuite.
Recevez des propositions d'experts
Des hackers éthiques vous répondent avec leur approche, leur délai et leur prix. Chaque expert dépense 1 crédit pour déposer une proposition.
Choisissez et cadrez
Comparez les profils et les avis, échangez dans la messagerie, acceptez la proposition retenue, puis signez l'accord de confidentialité avant de donner les accès.
Payez en dépôt sécurisé
Le montant est réglé par Stripe et conservé en dépôt sécurisé. Il n'est versé à l'expert qu'à la livraison du rapport, quand vous libérez les fonds et laissez votre avis. Hackersdate prélève une commission de 2 %.
Experts en cybersécurité inscrits
Des hackers éthiques indépendants, avec leur profil et leurs avis
Questions fréquentes sur l'audit de sécurité d'une boutique en ligne
Faites auditer votre boutique en ligne
Shopify ou PrestaShop : publiez gratuitement votre besoin et recevez les propositions de hackers éthiques indépendants.
Publier ma mission gratuitement
