Les menaces spécifiques au e-commerce
Une boutique en ligne concentre plusieurs types de données sensibles : coordonnées clients, historiques de commandes, et surtout données de paiement. Les attaques les plus fréquentes sur les sites e-commerce sont :
- Le skimming (ou card skimming) : injection de code malveillant dans la page de paiement pour intercepter les données bancaires en temps réel, sans que le commerçant ni le client ne s’en aperçoivent.
- Les injections SQL : exploitation des formulaires (recherche, inscription, contact) pour accéder à la base de données clients.
- Les attaques par force brute : tentatives de connexion massives sur les comptes clients pour les détourner (compte takeover).
- Le phishing ciblé : emails frauduleux imitant votre boutique pour récupérer les identifiants de vos clients.
Les obligations légales du e-commerçant
Toute boutique en ligne qui collecte des données clients est soumise au RGPD. Cela implique une politique de confidentialité claire, un gestionnaire de consentement pour les cookies, et la capacité à traiter les demandes d’accès ou de suppression des données. En cas de violation de données, vous devez notifier la CNIL dans les 72 heures.
Si vous gérez vous-même des paiements par carte, la norme PCI DSS s’applique. Dans la pratique, passer par un prestataire de paiement certifié (Stripe, PayPlug, Mollie) délègue la conformité PCI DSS au prestataire — ce qui est fortement recommandé pour les petites structures.
Les 6 mesures de sécurité indispensables
- HTTPS obligatoire : tous les échanges entre le navigateur du client et votre serveur doivent être chiffrés. Aucun client ne devrait voir s’afficher « Non sécurisé » dans son navigateur sur votre boutique.
- Mises à jour régulières : WooCommerce, PrestaShop, leurs modules de paiement et thèmes doivent être maintenus à jour en permanence. Les failles exploitées sont quasi-exclusivement connues et patchées.
- Pare-feu applicatif (WAF) : filtre les requêtes malveillantes avant qu’elles n’atteignent votre boutique. Cloudflare, Sucuri ou le firewall de Wordfence couvrent ce besoin.
- Sauvegardes automatiques hors-serveur : en cas d’attaque, une sauvegarde récente peut vous éviter des semaines de travail perdu et une perte de catalogue produit.
- Authentification forte sur l’administration : 2FA obligatoire sur tous les comptes admin. Un compte compromis sur votre back-office e-commerce, c’est l’accès à toutes les commandes et données clients.
- Monitoring des activités suspectes : mettez en place des alertes pour détecter les tentatives de connexion anormales, les modifications de fichiers ou les pics de trafic inhabituels.
