Un message frauduleux peut être bien écrit, reprendre votre marque et imiter un interlocuteur connu. L’absence de fautes n’est pas une preuve de confiance. Pour protéger une boutique en ligne, combinez des accès solides, des vérifications humaines et une capacité réelle à reprendre l’activité après un incident.
Cette checklist s’applique à toutes les solutions e-commerce : plateformes SaaS, boutiques auto-hébergées et comptes vendeurs sur les marketplaces. Attribuez chaque action à une personne et vérifiez sa réalisation. Les cadences proposées ci-dessous sont des repères d’organisation, à adapter à votre activité.
1. Sécuriser les comptes qui donnent accès aux autres
- Utilisez un gestionnaire de mots de passe et un mot de passe long, généré et différent pour chaque service. Protégez aussi le gestionnaire lui-même.
- Activez l’authentification multifacteur sur la messagerie, l’administration, le paiement, la banque, l’hébergement et le compte du nom de domaine.
- Conservez les codes de récupération dans un endroit sécurisé, accessible même si votre téléphone est perdu. Vérifiez les coordonnées de récupération.
- N’approuvez jamais une demande de connexion que vous n’avez pas initiée et ne communiquez pas un code de validation à un interlocuteur.
- Activez les alertes de connexion et examinez les sessions inconnues.
Commencez par la boîte mail : elle reçoit souvent les liens permettant de réinitialiser les autres accès.
2. Donner un accès personnel et limité à chacun
Créez un compte par membre de l’équipe et par prestataire. Accordez uniquement les fonctions nécessaires ; une personne qui rédige des fiches n’a pas forcément besoin de gérer les paiements ou les utilisateurs.
Le jour d’un départ, retirez les comptes, les sessions, les autorisations d’applications et les accès aux fichiers. Révoquez ou renouvelez les secrets auxquels la personne avait accès. Gardez une liste des services pour ne pas oublier le domaine, la publicité, les réseaux sociaux ou les sauvegardes.
3. Vérifier les demandes, pas seulement leur apparence
Un mail « colis bloqué », « compte suspendu » ou « remboursement urgent » doit être vérifié depuis l’application officielle ou un favori connu. Évitez le lien et la pièce jointe du message suspect. Un logo, un cadenas HTTPS ou une signature réaliste ne suffisent pas à authentifier l’expéditeur.
Pour un virement, un changement de RIB ou une demande inhabituelle reçue par mail, téléphone ou message vocal, rappelez le contact sur un numéro déjà enregistré. N’utilisez pas le numéro fourni dans la demande. La voix seule n’est pas une validation suffisante. Prévoyez une seconde validation interne pour les opérations sensibles.
4. Protéger les paiements et les abonnements
- Activez les alertes bancaires et vérifiez les bénéficiaires, remboursements et coordonnées de versement de votre prestataire de paiement.
- Si votre banque le propose, utilisez une carte virtuelle dédiée par fournisseur, avec un plafond adapté et compatible avec les prélèvements récurrents. Une carte à usage unique peut interrompre un abonnement.
- Surveillez les renouvellements et échecs de paiement des services essentiels, notamment le domaine et l’hébergement.
- Ne recueillez pas de numéros complets de carte ou de cryptogrammes par mail ou formulaire improvisé. Utilisez le parcours de votre prestataire de paiement.
- Rapprochez les paiements avec les commandes ; un e-mail ou une capture d’écran de paiement n’est pas une preuve d’encaissement.
5. Traiter les clés API et les connecteurs comme des accès sensibles
Rangez les clés API dans un coffre sécurisé ou un gestionnaire de secrets adapté. Pour une application, utilisez le stockage de secrets prévu par l’hébergeur, jamais le code public, une capture d’écran, un e-mail ou une conversation avec une IA.
Limitez les permissions, séparez test et production et révoquez une clé exposée sans attendre. Supprimer le message qui la contenait ne suffit pas. Une fois par mois, examinez les applications, extensions, webhooks et connecteurs OAuth/MCP : propriétaire, usage, droits et dernière utilisation. Retirez les connexions inutilisées.
Avec un assistant IA connecté, commencez en lecture seule. Définissez ce qui nécessite votre accord : publication, prix, stock, dépenses, messages et suppressions. Un texte trouvé dans une fiche, un e-mail ou une page web peut contenir une instruction malveillante : ne laissez pas un contenu externe autoriser une action à votre place. Vérifiez les paramètres de confidentialité avant de transmettre des données clients.
6. Protéger les appareils et les connexions
- Maintenez le système, le navigateur et les applications à jour. Remplacez les logiciels qui ne reçoivent plus de correctifs.
- Activez le verrouillage automatique et le chiffrement du disque ; conservez la clé de récupération séparément.
- Installez uniquement des applications et extensions de sources fiables. Limitez les extensions du navigateur utilisé pour l’administration.
- Évitez les ordinateurs publics pour vos comptes professionnels. En déplacement, privilégiez le partage de connexion de votre téléphone à un Wi-Fi inconnu.
- Maintenez aussi la box et les équipements réseau, et séparez si possible le Wi-Fi des visiteurs de celui utilisé pour la gestion.
7. Vérifier qui protège la boutique et le domaine
Sur une solution SaaS : demandez ce que le fournisseur prend en charge pour les mises à jour, les sauvegardes et la restauration. Les comptes, permissions, applications et données exportées restent à gérer de votre côté.
Sur une boutique auto-hébergée : désignez le responsable des correctifs du serveur, du CMS, du thème et des extensions. Supprimez les composants inutilisés, testez les mises à jour et surveillez les fichiers ou scripts ajoutés au parcours de paiement.
Dans les deux cas : protégez le compte du registrar, activez les protections de transfert disponibles et surveillez les modifications DNS. Vérifiez le renouvellement du domaine et le certificat HTTPS. Faites configurer les mécanismes SPF, DKIM et DMARC par votre prestataire en tenant compte de tous vos expéditeurs légitimes ; ils ne rendent pas tous les messages frauduleux impossibles.
8. Préparer une reprise, pas seulement un export
Listez ce qui permet de reprendre les ventes : produits, médias, commandes, clients nécessaires, thème, configuration et données des extensions. Un export CSV ne recrée pas forcément toute la boutique.
Choisissez une fréquence selon la quantité de travail que vous accepteriez de perdre. Conservez plusieurs versions sur des supports ou services distincts, dont une copie isolée ou protégée contre l’effacement. Protégez et chiffrez les sauvegardes ; une copie dans la messagerie ou sous le même compte compromis n’offre pas une indépendance suffisante.
Testez régulièrement la restauration dans un environnement séparé, avec les envois clients et les paiements désactivés. Notez le temps nécessaire et les éléments manquants. Vérifiez aussi la procédure du fournisseur : coût, délai, périmètre et personne habilitée à la demander.
Les exports clients restent des données personnelles. Limitez les accès et la durée de conservation ; ne multipliez pas les copies oubliées sur des ordinateurs ou des dossiers partagés.
Une routine facile à répartir
- Dès aujourd’hui : protéger messagerie et administration, retirer les comptes inutiles, vérifier la dernière sauvegarde.
- À chaque départ : retirer les accès et sessions, revoir les secrets et transférer la responsabilité des services.
- Chaque semaine : examiner les alertes, mises à jour, sauvegardes échouées et anomalies de paiement.
- Chaque mois : revoir les utilisateurs, applications, connecteurs, clés et abonnements.
- Régulièrement et après un changement majeur : tester une restauration et un parcours de commande contrôlé.
En cas de doute ou de piratage
- Arrêtez l’action suspecte. Si un appareil semble compromis, déconnectez-le du réseau et utilisez un appareil sain pour les démarches.
- Alertez les bons interlocuteurs. Contactez l’hébergeur ou la plateforme ; en cas de virement frauduleux, appelez immédiatement la banque pour demander le blocage ou le retour des fonds.
- Conservez les preuves. Messages, heures, captures, journaux et références de transaction. Évitez d’effacer ou de réinstaller avant d’avoir organisé leur conservation avec un professionnel.
- Reprenez le contrôle. Depuis un appareil sain, changez les accès concernés, révoquez les sessions et jetons compromis, vérifiez les règles de transfert de la messagerie et les coordonnées de paiement.
- Faites corriger la cause. Ne remettez pas simplement une sauvegarde en ligne si la faille ou l’accès compromis subsiste. Faites-vous accompagner via Cybermalveillance.gouv.fr et déposez plainte selon la situation.
- Évaluez les données personnelles touchées. Documentez toute violation. Si elle est susceptible de présenter un risque pour les droits et libertés des personnes, notifiez la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. En cas de risque élevé, informez également les personnes concernées, sauf exception applicable. N’attendez pas de connaître tous les détails pour engager cette évaluation.
Préparez hors de vos comptes habituels une fiche avec les contacts banque, plateforme, hébergeur, prestataire technique et responsable des données. Une checklist réduit les risques mais ne remplace pas l’analyse de votre configuration.