Sommaire
Une boutique en ligne cumule les enjeux : de l'argent qui circule, des données clients par milliers, une disponibilité dont dépend le chiffre d'affaires — et une exposition permanente à Internet. Elle hérite de toutes les règles du [site web classique](/ressources/securiser-site-web), plus les siennes propres : paiement, comptes clients, fraude. Le tour d'horizon, que vous soyez sur Shopify, WooCommerce, PrestaShop ou sur mesure.
1.Le paiement : ne jamais le porter soi-même
- La règle d'or : les données de carte ne touchent JAMAIS votre serveur — le paiement se délègue à un prestataire certifié (Stripe, PayPal, solutions bancaires) via redirection ou champs hébergés
- C'est aussi l'exigence PCI DSS : en déléguant proprement, votre conformité se réduit à un questionnaire simple ; en « bricolant » le paiement, elle devient un chantier lourd — et le risque, majeur
- Activer 3-D Secure systématiquement : l'authentification du porteur transfère la responsabilité de la fraude vers la banque dans la plupart des cas
- Surveiller les tentatives d'injection de scripts sur la page de paiement (attaques type « skimming ») : mises à jour strictes, intégrité des scripts, et les protections du prestataire de paiement
2.Les comptes clients : petit trésor, grandes convoitises
- Les comptes clients subissent le credential stuffing en continu (tests massifs d'identifiants fuités ailleurs) : limitation des tentatives, détection des pics, MFA proposée aux clients
- Ne stocker que le nécessaire : pas de carte enregistrée hors solution du prestataire de paiement, purge des comptes inactifs — chaque donnée en moins est un risque en moins (et du RGPD en règle)
- Le compte administrateur de la boutique : MFA obligatoire, accès restreints par rôle (le préparateur de commandes ne touche pas aux remboursements), journalisation
- Les accès des prestataires (agence, développeur, module de gestion) suivent les règles habituelles : nominatifs, limités, coupés en fin de mission
Attention
Le module tiers est au e-commerce ce que l'extension est à WordPress : la première porte d'entrée. Chaque plugin de votre boutique a potentiellement accès aux commandes et aux clients. Le tri est le même : le minimum de modules, tous maintenus, tous à jour — et une méfiance de principe envers le module gratuit exotique qui demande tous les droits.
3.La fraude au quotidien
- La fraude à la carte volée : commandes au montant inhabituel, livraison et facturation incohérentes, points relais en série — les outils anti-fraude des prestataires de paiement scorent tout cela, activez-les et réglez les seuils
- La fraude au remboursement (« colis jamais reçu ») : preuves de livraison contre signature au-delà d'un seuil, historique des réclamants
- Les faux sites qui clonent votre boutique pour piéger VOS clients : surveillance du nom (voir notre guide usurpation) et signalement rapide
- Les bots : raflage de stock, tests de cartes sur votre tunnel, scraping — les protections applicatives (WAF, anti-bot) de l'hébergeur ou d'un CDN font le ménage
4.Disponibilité et conformité
- L'indisponibilité coûte du chiffre d'affaires en direct : supervision avec alerte (voir notre guide), hébergement dimensionné pour vos pics (soldes, fêtes)
- Sauvegardes de la boutique ET de sa base (commandes, clients) hors de l'hébergement, testées — la boutique chiffrée par un ransomware sans sauvegarde saine, c'est la caisse ET le fichier clients perdus
- RGPD e-commerce : consentements propres (compte, newsletter, cookies), politique claire, purge des inactifs — les e-commerçants sont des cibles de contrôle privilégiées
- L'accessibilité (European Accessibility Act) s'applique explicitement au e-commerce : voir notre guide
L'essentiel à retenir
- 01Déléguer 100 % du paiement à un prestataire certifié, avec 3-D Secure
- 02Protéger l'admin par MFA et des rôles restreints
- 03Limiter les modules tiers et les tenir à jour
- 04Activer les outils anti-fraude et régler leurs seuils
- 05Superviser la disponibilité et sauvegarder hors hébergement
- 06Tenir la conformité RGPD (consentements, purge) et accessibilité
Questions fréquentes
Shopify (ou autre SaaS) nous dispense-t-il de tout ça ?
D'une bonne partie de l'infrastructure, oui : le SaaS gère serveurs, mises à jour du cœur et conformité paiement. Restent VOS responsabilités : le compte admin (MFA !), les applications tierces ajoutées, les accès de l'équipe et des prestataires, la fraude métier, le RGPD de vos données. Le SaaS déplace le périmètre, il ne le supprime pas.
Qui paie en cas de fraude à la carte sur notre boutique ?
Sans 3-D Secure : très souvent vous — le « chargeback » vous reprend le montant, les frais, et le produit est parti. Avec 3-D Secure appliqué : la responsabilité bascule généralement vers la banque émettrice. C'est pourquoi son activation systématique (avec les exemptions gérées par le prestataire pour la fluidité) est le réglage le plus rentable de la boutique.
Un petit e-commerce est-il vraiment ciblé ?
En permanence — mais pas « personnellement » : des bots testent chaque boutique en ligne pour y essayer des cartes volées, des identifiants fuités et des modules vulnérables. La petite boutique mal protégée est même préférée : mêmes gains, moins de défenses. Les protections standards décrites ici suffisent à décourager cette pêche industrielle.
Pour aller plus loin
Un projet cloud ou d'infrastructure ?
Choix, migration, sécurisation, supervision : Cyberionis conçoit des infrastructures sobres et qui durent.