Commerce en ligne et places de marché
Paniers, paiements et comptes clients sont exposés en continu à des attaques automatisées.
Réponse courte
E-commerce : quels risques, quelle première mission ?
Un site marchand est exposé surtout à des attaques automatisées : réutilisation d’identifiants volés, abus de promotions, scripts tiers piégés dans le tunnel de paiement. Les tests couvrent le parcours d’achat de bout en bout, la solidité des comptes clients et les scripts chargés sur les pages de paiement. L’exigence PCI DSS dépend de votre mode d’encaissement, que le cadrage précise.
Un site marchand est exposé en permanence à des attaques sans ciblage particulier : des robots testent des identifiants volés, cherchent des réductions détournables, scrutent les extensions obsolètes. Être visé est la norme : reste à savoir ce que les tentatives obtiennent.
Deux risques dominent. Le détournement de comptes clients, qui transforme des identifiants fuités ailleurs en commandes frauduleuses et en litiges. Et l’injection de code de collecte de cartes dans le tunnel de paiement, souvent via une extension ou un script tiers. Cette compromission est silencieuse : ce sont parfois les banques qui la découvrent, par recoupement des cartes fraudées.
Les missions couvrent donc le tunnel d’achat de bout en bout, la solidité des comptes clients et la maîtrise des scripts tiers chargés sur les pages de paiement.
Les scénarios les plus fréquents dans ce secteur
Ces scénarios orientent la mission : ils déterminent où passe le temps d’analyse et quels parcours sont examinés en priorité.
Détournement de comptes clients
Réutilisation d’identifiants fuités à grande échelle, parcours de récupération trop permissifs, absence de limitation sur les tentatives.
Collecte de cartes par script tiers
Code injecté dans le tunnel de paiement via une extension, une balise marketing ou une dépendance front compromise.
Abus du parcours d’achat
Cumul de codes promotionnels, prix manipulables, remboursements indus, validation de commande sans paiement effectif.
Extensions et socles obsolètes
Un module non maintenu est une voie d’entrée classique sur les plateformes de commerce répandues.
Contraintes réglementaires et contractuelles
- PCI DSS, selon votre mode d’encaissement
- RGPD, sur les données clients et le suivi publicitaire
- Exigences des prestataires de paiement et seuils de litiges
- Obligations d’information en cas de fuite de données clients
Cette liste sert à cadrer la mission et ne remplace pas une analyse juridique. Le périmètre exact de vos obligations se détermine avec votre conseil.
Par où commencer
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
dès 990 € HT
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
dès 290 € HT
E-commerce : les questions qu’on nous pose
Comment savoir si un script tiers collecte les cartes sur notre page de paiement ?
En commençant par dresser la liste de tout ce que charge la page de paiement : scripts, balises marketing, extensions, polices, widgets de chat. Pour chacun, il faut savoir qui l’a ajouté, pourquoi, et d’où il se charge. Le test compare ensuite cette liste à ce que la page charge réellement, vérifie la politique de sécurité du contenu et l’intégrité des scripts, et cherche les chargements qui n’ont pas de propriétaire. La version 4.0 de PCI DSS demande d’ailleurs d’inventorier et de contrôler les scripts des pages de paiement.
Un test d’intrusion est-il obligatoire pour accepter les paiements par carte en ligne ?
Cela dépend de la manière dont la carte est collectée. Si la saisie se fait entièrement sur la page de votre prestataire de paiement, votre périmètre PCI DSS est réduit ; si votre propre page ou vos serveurs voient les numéros, il s’étend, et PCI DSS demande des tests d’intrusion internes et externes. Votre banque acquéreuse ou votre prestataire de paiement vous dit quel questionnaire vous concerne. Reconmind n’est pas évaluateur PCI et ne délivre pas d’attestation : nous fournissons la preuve technique.
Quels abus du parcours d’achat un test d’intrusion reproduit-il ?
Il rejoue ce que ferait un fraudeur ou un client malin : cumuler des codes promotionnels limités à un usage, modifier un prix ou une quantité dans une requête, valider une commande sans paiement effectif, demander un remboursement indu, énumérer des bons cadeaux, passer par l’application mobile quand le site contrôle mieux. Chaque abus est démontré par la requête exacte et son effet chiffré. L’objectif est de savoir ce que valent vos règles quand on ne suit pas le parcours dans l’ordre prévu.
Pour situer votre cas
- SecteursComparer avec les autres secteursCe qui change d’un secteur à l’autre dans l’ordre des priorités.
- ParcoursLa lecture selon votre rôleRSSI, direction générale ou équipe technique : trois façons de décider.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début