Panier
Caractéristiques et avantages du module
- ajoute automatiquement des en-têtes de sécurité à la boutique – sans toucher au serveur, au fichier .htaccess ni à la configuration Cloudflare. Après l’installation, le module envoie lui-même les en-têtes dans les réponses HTTP.
- paramètres de départ prêts à l’emploi et sécurisés – après l’installation, vous obtenez des valeurs par défaut choisies pour convenir à la plupart des boutiques et ne pas perturber le fonctionnement du panier.
- protection contre le clickjacking (intégration de la boutique dans une iframe) – grâce à des en-têtes comme X-Frame-Options et/ou à la directive frame-ancestors dans la CSP, vous pouvez bloquer l’« injection » de votre boutique dans un cadre sur des sites tiers.
- contrôle des sources depuis lesquelles les ressources peuvent être chargées (CSP) – vous pouvez limiter les sources des scripts, styles, images et connexions. C’est l’un des mécanismes de protection du navigateur les plus puissants (et en même temps une option qui peut être déployée progressivement).
- forçage du HTTPS (HSTS) – si la boutique fonctionne en HTTPS, l’en-tête HSTS indique au navigateur qu’il doit toujours se connecter via une connexion chiffrée, ce qui complique la substitution d’une version « non chiffrée » de la page.
- protection contre la « détection » des types de fichiers (nosniff) – l’en-tête X-Content-Type-Options réduit le risque que le navigateur interprète mal un fichier et exécute quelque chose qu’il ne devrait pas.
- moins de fuites d’informations sur l’origine de l’utilisateur (Referrer-Policy) – vous contrôlez la quantité de données sur l’adresse de la page transmise après un clic sur un lien (cela aide à limiter les fuites d’URL avec paramètres).
- blocage des « autorisations » inutiles du navigateur (Permissions-Policy) – vous pouvez désactiver l’accès à des fonctions comme la caméra, le microphone ou la géolocalisation si la boutique ne les utilise pas, ce qui réduit la « surface d’attaque ».
- en-têtes avancés d’isolation cross-origin (COOP / CORP / COEP) – ils aident à limiter les risques liés à l’ouverture de pages et au chargement de ressources entre domaines. Le module permet de les activer en toute connaissance de cause et de les tester en toute sécurité.
- paramètres distincts pour le Front Office et le Back Office – vous pouvez activer les en-têtes uniquement sur la boutique (pour les clients) ou aussi dans le panneau d’administration, afin de ne pas risquer de conflits, par exemple dans le BO.
- gestion pratique – chaque en-tête a son propre interrupteur – vous activez/désactivez des protections précises en un clic, au lieu de modifier des fichiers ou de chercher des paramètres sur le serveur.
- possibilité de modifier le contenu de chaque en-tête – si vous avez des intégrations (par ex. paiements, chats, analytique), vous pouvez adapter les valeurs des en-têtes à vos besoins sans programmation.
- multistore et différents domaines – chaque boutique en multistore peut avoir une configuration différente (par ex. domaines différents, intégrations différentes, règles CSP différentes), et le module le respecte.
- Déploiement sécurisé « étape par étape » – vous pouvez n’activer les paramètres les plus stricts (par ex. CSP/COEP) qu’après des tests, afin de ne pas perturber le panier, les paiements ou les scripts externes.
- options décrites « simplement » – de courtes explications accompagnent les paramètres pour indiquer ce que fait chaque option et quand elle peut être utile, sans nécessiter de connaissances en sécurité web.
- aide à respecter les bonnes pratiques de sécurité – améliore l’« hygiène » de la boutique aux yeux des navigateurs et des outils d’audit (moins d’avertissements, meilleur contrôle du comportement de la page).
- ne nécessite aucune modification des fichiers de la boutique ni du thème – vous configurez une seule fois dans le module, et les en-têtes sont envoyés automatiquement à chaque réponse.
- fonctionne avec les versions populaires de PrestaShop – le module est prévu pour PrestaShop 1.6.1.x, 1.7.x, 8.x et 9.x, vous pouvez donc aussi l’utiliser lors des mises à jour de la boutique.