Failles du back-office PrestaShop : mettre à jour, puis exiger l'authentification à deux facteurs

Si vous craignez qu'un mot de passe administrateur volé ouvre le back-office de votre boutique, faites deux choses : gardez PrestaShop à jour et ajoutez l'authentification à deux facteurs (2FA). Avec la 2FA, il faut aussi, pour se connecter, un code à usage unique généré sur le téléphone de chaque employé. La mise à jour ferme les failles connues. La 2FA fait qu'un mot de passe divulgué ne suffit plus.

Des failles, il y en aura toujours, et l'IA accélère le rythme

Aucun logiciel n'est exempt de failles. On les découvre peu à peu et on les corrige dans de nouvelles versions. PrestaShop 9.2 est sorti le 30 septembre 2026. Quelques semaines plus tôt, PrestaShop 9.1.5 corrigeait cinq vulnérabilités signalées dans le cadre d'une divulgation coordonnée. La 8.2.8, publiée le même jour, les corrige aussi.

L'une d'elles était une injection SQL dans les filtres des listes du back-office. Elle a été découverte par Claude, l'IA d'Anthropic, dans le cadre du programme de divulgation coordonnée des vulnérabilités d'Anthropic, puis vérifiée et signalée par Doyensec. Autrement dit, l'IA trouve déjà de vraies failles.

D'après le rapport Verizon DBIR 2026, l'exploitation de vulnérabilités est désormais la première porte d'entrée des attaquants. Pour la première fois en 19 ans de rapport, elle dépasse le vol d'identifiants. Verizon attribue la dégradation des correctifs à la forte hausse du nombre de vulnérabilités, et l'usage de l'IA pour les trouver, par des chercheurs comme par des attaquants, devrait alourdir encore la charge. À noter : ses données sont antérieures à « l'explosion » de la recherche assistée par l'IA.

Ce que fait PrestaShop de série pour l'accès au back-office

De série, PrestaShop ne demande qu'un mot de passe pour accéder au back-office. Or un mot de passe peut être hameçonné, deviné ou réutilisé depuis un autre site victime d'une fuite. Verizon souligne que les identifiants volés sont regroupés et revendus par des courtiers en accès initial. Le rapport note aussi que le pretexting (un scénario inventé pour que la victime livre des informations ou un accès) est de plus en plus courant comme porte d'entrée des rançongiciels et de l'extorsion. La CISA le résume ainsi : les utilisateurs qui activent l'authentification multifacteur ont nettement moins de risques d'être piratés.

Activer l'authentification à deux facteurs avec notre module

Pour ajouter ce second facteur, nous proposons notre module d'authentification à deux facteurs pour l'accès au back-office. Après son mot de passe, chaque employé saisit un code à 6 chiffres généré sur son téléphone. Il est compatible avec votre PrestaShop. Il ne demande ni service externe, ni abonnement, ni clé d'API : les codes sont vérifiés sur votre propre serveur.

Il vous faut seulement deux choses. D'abord, une application TOTP (RFC 6238) sur le téléphone de chaque employé, comme Google Authenticator, Authy, 2FAS ou Microsoft Authenticator. Ensuite, une source d'aléa sécurisée sur votre serveur. S'il n'y en a pas, le module vous le signale.

1. Ouvrez la configuration. Accédez à la configuration du module.
2. Créez votre clé. Dans « Gestion 2FA des employés », sur votre ligne, cliquez sur « Générer la clé 2FA ». Scannez le QR code avec votre application et saisissez le code à 6 chiffres.
3. Rangez votre code de récupération. Il est personnel, à usage unique et au format XXXX-XXXX-XXXX. Il vous sert si vous perdez votre téléphone.
4. Imposez-la à toute l'équipe. Dans « Réglages globaux », activez « Forcer la 2FA pour tous les employés » dès qu'au moins un administrateur a configuré sa clé. Ceux qui n'en ont pas passent par une configuration guidée à leur prochaine connexion.
5. Réglez la fréquence et les alertes. Si besoin, renseignez les « Adresses IP exemptées de la 2FA ». Dans « Demander un nouveau code », choisissez si le code est demandé à chaque connexion ou toutes les 1, 4, 8 ou 24 heures, chaque semaine, tous les 15 jours ou chaque mois. Activez ensuite, selon vos besoins, « Mémoriser les appareils de confiance », « E-mail à chaque nouvelle connexion » ou « E-mail sur tentative échouée ».
6. Suivez les connexions. Elles se trouvent dans l'onglet « Journal d'activité ».

Ce que comprend le module

Avant la campagne de novembre, verrouillez les accès

Vous allez renforcer l'équipe en novembre ou ouvrir un accès à une agence ? Activez « Forcer la 2FA pour tous les employés » avant leur arrivée : chaque nouveau compte configurera sa clé dès sa première connexion. Activez aussi l'e-mail sur tentative échouée : vous serez prévenu sans ouvrir le back-office. Vos clients ne verront aucune différence, car seul l'accès des employés est protégé.

Questions fréquentes