CAPTCHA et confinement temporaire dans PrestaShop 1.6

Document archivé, à usage d'urgence. PrestaShop 1.6 n'est plus maintenu et ne doit pas rester en ligne comme boutique publique. Ajouter un CAPTCHA peut réduire les automatisations, mais ne corrige pas les vulnérabilités connues et ne remplace pas un cœur maintenu.

Action prioritaire

Planifiez la migration vers une version de PrestaShop maintenue, en suivant sa matrice officielle de PHP et de base de données. Faites l'inventaire du catalogue, des clients, des commandes, des modules, du thème et des intégrations ; testez la mise à jour en staging et ne publiez qu'après avoir validé les paiements, les e-mails, les tâches et les sauvegardes.

Atténuation temporaire

• Restreignez l'accès à l'administration, activez la 2FA lorsque c'est possible et appliquez un pare-feu, une limitation du débit (rate limiting) et une protection anti-bots sur les formulaires et la création de comptes.
• Désactivez les formulaires ou fonctions qui ne sont pas indispensables et surveillez les inscriptions, les envois, les erreurs et la consommation.
• Si vous avez besoin d'un CAPTCHA pendant la migration, utilisez uniquement un module maintenu, compatible avec votre installation et téléchargé depuis sa publication officielle ; figez la version et vérifiez la somme de contrôle ou la signature.
• Protégez les clés secrètes, limitez leurs domaines autorisés et renouvelez-les si elles ont été exposées.
• Conservez des sauvegardes externes vérifiées et fixez une date proche pour retirer PrestaShop 1.6.

Ces mesures sont un confinement d'urgence. Un CAPTCHA ne fait pas de PrestaShop 1.6 une plateforme sûre et ne justifie pas de repousser la migration.

Vérifier la protection temporaire

Sur une copie de test, identifiez le formulaire exact qui crée les comptes ou les messages. Testez une requête légitime et une autre sans validation CAPTCHA correcte : la seconde doit être rejetée côté serveur avant de créer des données ou d'envoyer un e-mail.

Surveillez si l'abus se déplace vers une autre route, un autre module ou une API. Si vous ne trouvez pas d'intégration maintenue et compatible, n'installez pas un ancien paquet au hasard : restreignez la fonction concernée pendant que vous préparez la migration. Gardez un canal de contact alternatif pour les clients légitimes pendant ce confinement.