Sécuriser une boutique en ligne marocaine : les mesures qui comptent

Ce qui est réellement visé

Un site marchand attire trois types d'attaques : le vol des données clients, le détournement du paiement, et la prise de contrôle du site pour y héberger autre chose. Les deux premières ruinent la confiance ; la troisième détruit le référencement, parfois pour des mois.

Par où commencer, dans l'ordre

1. Les comptes d'administration

Un seul compte administrateur partagé par trois personnes, avec un mot de passe ancien, est la faille la plus courante. Un compte nominatif par personne, la double authentification activée, et le retrait immédiat des accès lors d'un départ : c'est gratuit et c'est ce qui bloque le plus d'incidents.

2. Les mises à jour

Les intrusions sur les sites marchands exploitent massivement des extensions non mises à jour. Fixez un rendez-vous mensuel pour appliquer les correctifs, et supprimez les extensions que vous n'utilisez plus — une extension désactivée mais présente reste exploitable.

3. Les paiements

Ne stockez jamais de numéros de carte sur votre serveur : laissez la saisie se faire chez le prestataire de paiement. Vous réduisez d'un coup l'essentiel du risque et vos obligations. Vérifiez aussi que les notifications de paiement sont authentifiées côté serveur, sinon une commande peut être validée sans règlement.

4. Les sauvegardes

Site et base de données, sauvegardés chaque jour, conservés ailleurs que sur le serveur du site, et surtout restaurés au moins une fois pour vérifier que l'opération fonctionne. Une sauvegarde stockée sur la machine piratée ne vaut rien.

Les données clients et la loi

Noms, adresses, téléphones, historiques d'achat : ce sont des données personnelles. La loi 09-08 impose de les protéger, de ne collecter que le nécessaire et d'informer les personnes concernées. En cas de fuite, l'absence de mesures documentées aggrave la situation. Voir notre article sur la loi 09-08.

Le poste de travail compte autant que le serveur

Dans plusieurs incidents que nous avons suivis, le site n'avait pas été « piraté » : le mot de passe d'administration avait été récupéré sur l'ordinateur d'un gérant, via une extension de navigateur douteuse. Protéger les postes qui administrent la boutique fait donc partie de la sécurité du site.

Nous accompagnons les commerçants en ligne marocains sur ces points : parlons-en.