Avis historique sur les inscriptions massives dans PrestaShop 1.6 et 1.7

Cet avis est historique et concerne d'anciennes branches de PrestaShop. Il ne permet pas de diagnostiquer la cause d'inscriptions actuelles sans vérifier la version, les modules et les journaux.

La faille décrite a été corrigée dans PrestaShop 1.7.5.2 et 1.6.1.24. Si une boutique utilise encore une version concernée, installer un CAPTCHA ne suffit pas : elle doit être migrée vers une branche actuellement maintenue, en testant la mise à jour dans un environnement de staging.

Si le problème apparaît sur une version actuelle, identifiez d'abord le formulaire ou l'API qui crée les comptes, examinez les requêtes et mettez à jour le cœur, le thème et les modules. Ajoutez au formulaire une protection compatible, validée côté serveur, avec des limites de fréquence et une surveillance des inscriptions.

Ne supprimez pas de comptes en masse sans vérifier les commandes, les consentements et l'activité légitime. Gardez une sauvegarde avant de nettoyer les données.

La faille historique consistait à accepter des URL dans les noms des clients, qui pouvaient ensuite être diffusées par les notifications de la boutique. Le correctif de 2019 n'empêche pas toutes les inscriptions automatisées et ne fait pas de ces versions une recommandation actuelle.

Pour vérifier une atténuation actuelle, testez en staging une inscription légitime et une autre sans la validation anti-bot requise. Vérifiez que le serveur rejette la seconde avant de créer l'utilisateur ou d'envoyer un e-mail. Surveillez aussi le volume d'inscriptions après la modification.