PrestaShop : guide de préparation

Préparation par axe

Le guide pratique PrestaShop

Lacunes classées par impact, avec la mesure propre à la plateforme lorsqu’elle existe.

1. HSTS conservé pendant au moins un an

   21% observé · tous les sites 31%

   Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.

   Guide : Guide HTTPS et TLS pour propriétaires de sites

2. La politique DMARC impose la mise en quarantaine ou le rejet

   27% observé · tous les sites 31%

   Publiez d’abord DMARC avec p=none et une adresse de réception des rapports, corrigez les problèmes des expéditeurs légitimes qui échouent à l’alignement SPF ou DKIM, puis passez à quarantine et enfin à reject.

   Guide : Un contrôle pratique de l’état du site pour propriétaires

3. Fichiers statiques mis en cache pendant 30 jours ou plus

   31% observé · tous les sites 50%

   Attribuez aux fichiers CSS, JavaScript, polices et images versionnés (avec empreinte) l’en-tête Cache-Control: public, max-age=31536000, immutable, et modifiez le nom du fichier chaque fois que son contenu change.

   Guide : Guide de mise en cache navigateur pour propriétaires de sites

4. security.txt publié

   3.3% observé · tous les sites 5.5%

   Publiez /.well-known/security.txt avec au minimum les champs Contact et Expires, comme l’exige la RFC 9116, et vérifiez-le avant son expiration.

   Guide : Un contrôle pratique de l’état du site pour propriétaires

5. Formats d’image modernes utilisés

   36% observé · tous les sites 40%

   Servez des images WebP ou AVIF avec une solution de repli JPEG ou PNG, soit via un CDN d’images, soit en générant les deux formats lors de la compilation.

   Guide : AVIF, WebP, JPEG et PNG : choisissez le bon format d’image

6. Les enregistrements CAA limitent les entités autorisées à émettre des certificats

   6.7% observé · tous les sites 11%

   Publiez des enregistrements CAA désignant toutes les autorités de certification que vous utilisez réellement, y compris celles que votre CDN utilise pour les certificats gérés. Ajoutez un contact iodef si vous souhaitez recevoir des rapports.

   Guide : Guide HTTPS et TLS pour propriétaires de sites

7. Politique de sécurité du contenu présente

   15% observé · tous les sites 31%

   Commencez par Content-Security-Policy-Report-Only pour voir ce qui cesserait de fonctionner, renforcez la politique sur quelques semaines, puis appliquez-la.

   Guide : Sécurité des paiements et PCI DSS : ce que les propriétaires de sites doivent savoir

8. Intégration dans des cadres restreinte

   27% observé · tous les sites 49%

   Envoyez Content-Security-Policy: frame-ancestors 'self' (ou une liste d’origines de confiance). X-Frame-Options: SAMEORIGIN prend en charge les navigateurs plus anciens.

   Guide : Un contrôle pratique de l’état du site pour propriétaires

Domaines dans lesquels les sites PrestaShop se distinguent

• Données structurées présentes73% observétous les sites 53%
• robots.txt publié97% observétous les sites 79%
• Durée de validité du certificat de 100 jours ou moins88% observéstous les sites 75%
• Méta-description rédigée95% observéstous les sites 82%

Les 31 vérifications sur PrestaShop

Sites PrestaShop à haut niveau de préparation

• lanazione.it81
• hostinger.com81
• sklum.com66

À consulter aussi