Sécurité WooCommerce : ce qui change quand un site vend en ligne

Pourquoi une boutique attire davantage

Une installation WooCommerce concentre trois choses qui intéressent un attaquant : un flux de transactions de paiement, une base de données personnelles (noms, adresses, e-mails, historiques d'achat), et un trafic soutenu qui rend un code malveillant rentable. À cela s'ajoute une surface d'attaque plus large : une boutique fonctionne rarement avec le seul WooCommerce, mais avec une dizaine d'extensions — passerelles de paiement, transporteurs, marketing — dont chacune est un point d'entrée potentiel.

La menace spécifique : le skimmer de paiement

C'est l'attaque qui vise les boutiques et presque elles seules. Un skimmer est un fragment de code — souvent du JavaScript — inséré dans la page de commande, qui copie les données de carte saisies par le client et les envoie à l'attaquant, en même temps que le paiement légitime s'effectue normalement. Le client paie, reçoit sa commande, ne remarque rien. Vous non plus.

Ces skimmers se logent dans un fichier de thème, dans une extension compromise, ou parfois directement en base de données via un script chargé sur la page de checkout. Ils sont conçus pour la discrétion : une boutique peut être siphonnée pendant des mois sans symptôme visible.

Les points à surveiller en priorité

• Les extensions de paiement et leurs mises à jour. Une passerelle non à jour est une porte ouverte directement sur le tunnel de commande.
• Les scripts chargés sur la page de checkout. Tout JavaScript qui n'a rien à y faire mérite un examen : c'est là que se cache un skimmer.
• Les comptes administrateurs. Un accès admin sur une boutique donne accès aux commandes, donc aux données clients. Le moindre compte superflu est un risque.
• Les extensions nulled. Une extension premium « gratuite » téléchargée hors circuit officiel est un vecteur d'infection classique — d'autant plus tentant que les extensions WooCommerce sérieuses sont payantes. Nous détaillons ce piège dans notre guide des extensions vulnérables et thèmes nulled.

L'enjeu que n'a pas un site vitrine : la fuite de données

Si des données personnelles de vos clients sont exposées, vous n'avez pas seulement un problème technique : vous avez une obligation. Le RGPD impose de notifier l'autorité de contrôle dans les 72 heures après avoir eu connaissance d'une violation de données à caractère personnel (article 33). Selon la gravité, les personnes concernées doivent aussi être informées.

C'est pourquoi, sur une boutique, la question n'est pas seulement « suis-je infecté ? » mais « depuis quand, et qu'est-ce qui a pu fuir ? ». Détecter tôt réduit à la fois le préjudice et l'exposition légale.

Ce que nous couvrons, et ce que nous ne remplaçons pas

Genisoft Security analyse les fichiers de votre boutique et certaines entrées de base de données, et repère les motifs typiques d'un code injecté — y compris sur des scripts qui n'ont rien à faire sur une page de commande. C'est un outil de détection. Il ne remplace ni la conformité PCI-DSS de votre passerelle de paiement, ni un pare-feu, ni la remise en état après incident. Détecter tôt, c'est notre rôle ; sécuriser la chaîne de paiement de bout en bout est un travail plus large.