Découvrez les principales menaces qui ciblent les sites e-commerce et les dispositifs à mettre en place pour renforcer la sécurité de son site.
Pourquoi la cybersécurité est-elle essentielle pour un site e-commerce ?
La cybersécurité est devenue un enjeu incontournable pour les entreprises qui vendent en ligne, face à des menaces nombreuses et quotidiennes.
La sécurité d’un site e-commerce ne concerne pas uniquement les données bancaires. Une boutique en ligne et son administration concentrent en effet de nombreuses autres informations sensibles :
- Données personnelles des clients
- Comptes utilisateurs
- Commandes, devis, factures
- Accès administrateurs
- Fonctionnalités d’un back-office et d’un CMS.
La cybersécurité ne consiste donc pas uniquement à protéger le site contre une panne ou un virus. Elle vise aussi à empêcher les accès non autorisés, détecter les comportements suspects et limiter les conséquences d’une tentative d’attaque.
Pour une plateforme e-commerce, cette protection doit concerner aussi bien le back-office, utilisé par les équipes de l’entreprise, que le front office, accessible aux clients.
Quelles sont les principales menaces pour un site e-commerce ?
Le détournement de session, ID Hijacking ou session Hijacking
Vol de mots de passe, accès non autorisés, compromission d’un compte administrateur : les attaques contre les comptes administrateurs sont nombreuses.
L’une des menaces à prendre en compte est le détournement de session (en anglais ID Hijacking ou Session Hijacking).
Lors d’un ID Hijacking, l’attaquant cherche à prendre le contrôle d’une session authentifiée afin de se faire passer pour un utilisateur légitime. Cela peut notamment passer par la compromission ou le vol d’un identifiant de session.
Le détournement de session doit être distingué du simple vol d’identifiants : dans le premier cas, l’attaquant cherche notamment à réutiliser une session déjà authentifiée.
La gestion des sessions est donc un élément important de la sécurité d’un site e-commerce. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) recommande notamment de limiter la durée de validité des sessions authentifiées et de mettre en place des mécanismes permettant de détecter une éventuelle usurpation.
Le credential stuffing
Le credential stuffing consiste à essayer automatiquement des identifiants et mots de passe provenant de bases de données compromises sur différents sites.
Pourquoi le credential stuffing fonctionne-t-il ? Parce que certains utilisateurs réutilisent le même mot de passe sur plusieurs services. Un couple identifiant/mot de passe récupéré lors d’une fuite peut donc être testé sur d’autres plateformes.
Pour un site e-commerce, l’enjeu est de protéger les comptes clients contre ces tentatives d’accès automatisées et massives. Plusieurs mécanismes peuvent être mis en place pour ralentir, détecter et bloquer les attaques automatisées, rendant le Credential stuffing inefficace : détection des comportements automatisés, limitation du nombre de tentatives, surveillance des connexions inhabituelles et une authentification multifacteur.
Les attaques par force brute
Les sites e-commerce peuvent être ciblés par des tentatives de connexion automatisées, au cours desquelles un programme teste rapidement un grand nombre de combinaisons d’identifiants et de mots de passe. Ces attaques peuvent notamment prendre la forme de « brute force », lorsque différentes combinaisons sont essayées jusqu’à trouver la bonne.
Même lorsque ces tentatives n’aboutissent pas, leur multiplication peut mettre à l’épreuve les mécanismes d’authentification et générer un volume important de connexions suspectes.
La mise en place de limitations du nombre de tentatives, de systèmes de détection et de blocage permet donc de ralentir ou limiter ces attaques automatisées.
Les accès non autorisés au back-office
Le back-office constitue un espace particulièrement sensible puisqu’il permet de gérer les produits, les commandes, les comptes clients et de nombreux paramètres du site e-commerce. Un accès obtenu frauduleusement peut ainsi donner à un attaquant la possibilité de modifier des données ou certaines fonctionnalités du site.
La sécurité du back-office repose donc sur plusieurs niveaux de protection : restriction des accès depuis certains réseaux lorsque cela est pertinent, authentification renforcée, authentification multifacteur ou encore surveillance des connexions.
L’objectif est de multiplier les barrières afin que la compromission d’un seul élément, comme un mot de passe, ne suffise pas à obtenir un accès au compte administrateur.
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) recommande notamment de renforcer les mécanismes d’authentification pour les accès sensibles et de privilégier l’authentification multifacteur lorsque cela est possible.
L’authentification multifacteur, ou MFA, consiste à demander plusieurs éléments permettant de vérifier l’identité de l’utilisateur. Selon la solution utilisée, il peut par exemple s’agir d’un mot de passe associé à un code généré par une application d’authentification ou à une clé de sécurité.
La MFA ne doit donc pas être assimilée uniquement à l’envoi d’un code par e-mail : le niveau de sécurité dépend notamment de la nature du second facteur utilisé.
Comment renforcer la sécurité d’un site e-commerce ?
La sécurité d’un site marchand ne repose pas sur une seule technologie. Elle nécessite la mise en place de plusieurs couches de protection complémentaires.
Protéger les comptes utilisateurs
Les comptes clients et administrateurs doivent être protégés par des mécanismes d’authentification adaptés.
Les mots de passe doivent notamment être stockés sous une forme protégée à l’aide d’un mécanisme de hachage adapté. Ils ne doivent jamais être conservés en clair.
Pour les comptes disposant de privilèges importants, l’authentification multifacteur constitue une mesure de sécurité particulièrement pertinente.
Il est également important de surveiller les tentatives de connexion et de mettre en place des mécanismes permettant de détecter les comportements inhabituels.
Limiter les droits d’accès
Tous les utilisateurs d’un site e-commerce ne doivent pas disposer des mêmes permissions.
Un collaborateur chargé de gérer les commandes n’a pas nécessairement besoin d’accéder aux paramètres techniques du site. De la même manière, un compte client ne doit pouvoir accéder qu’aux informations qui lui sont propres.
La mise en place de rôles et de permissions permet d’appliquer le principe du moindre privilège et de limiter les conséquences d’une éventuelle compromission.
Surveiller les activités suspectes
La détection joue un rôle essentiel dans la sécurité d’une plateforme e-commerce. Les journaux de connexion et les événements de sécurité peuvent notamment permettre d’identifier :
• Des tentatives de connexion répétées
• Des connexions inhabituelles
• Des changements de droits
• Des opérations administratives sensibles
• Des comportements automatisés
• Des modifications importantes de données
Une surveillance adaptée permet de réagir plus rapidement lorsqu’un comportement anormal est détecté.
Sécuriser les sauvegardes
Une stratégie de sécurité doit également prévoir la possibilité qu’un incident survienne malgré les mesures de protection.
Des sauvegardes régulières permettent de restaurer les données après une panne, une erreur humaine ou un incident de sécurité.
Ces sauvegardes doivent elles-mêmes être protégées contre les accès non autorisés et leur restauration doit être testée régulièrement.
La sécurité e-commerce : une démarche continue
La cybersécurité d’un site e-commerce ne peut pas être considérée comme un projet terminé une fois la plateforme mise en ligne.
Les menaces évoluent, les composants sont régulièrement mis à jour et de nouvelles vulnérabilités peuvent être découvertes.
La sécurité doit donc être intégrée dans le cycle de vie complet de la plateforme : conception, développement, déploiement, exploitation et maintenance.
Chez OASIS Commerce, cette approche permet d’intégrer la sécurité comme une composante de la plateforme e-commerce et non comme une fonctionnalité ajoutée a posteriori.
La protection d’un site marchand repose ainsi sur une combinaison de mesures techniques et organisationnelles : sécurisation des accès, protection des données, surveillance, mises à jour, sauvegardes et contrôle régulier des différents composants de la plateforme.
Découvrez OASIS Commerce, une solution 100% française !
Vous recherchez une solution e-commerce sécurisée, respectant les recommandations en cybersécurité et protégeant à la fois votre back-office et votre boutique en ligne ?
Contactez-nous et testez notre solution e-commerce durant 30 jours avec notre démo gratuite.
