Deux scanners, deux questions différentes
Si vous cherchez un scanner de sécurité pour PrestaShop, vous tomberez rapidement sur PrestaScan Security, gratuit et open source. Et si vous lisez ce blog, vous connaissez peut-être Genisoft Security Scanner, que nous éditons.
Autant le dire tout de suite : cet article compare notre produit à un concurrent, et nous avons un intérêt commercial évident. Nous avons donc choisi l’angle qui nous semble le seul défendable — expliquer factuellement ce que chaque outil fait, y compris quand le nôtre n’est pas le bon choix.
Car la conclusion honnête est que ces deux outils ne se concurrencent pas vraiment. Ils répondent à deux questions distinctes :
- PrestaScan répond à : « Mon installation a-t-elle des failles connues ? »
- Genisoft répond à : « Suis-je déjà compromis, et pourquoi l’infection revient-elle ? »
La première est une question de prévention. La seconde, de détection post-compromission. Un e-commerçant sérieux a besoin des deux réponses.
PrestaScan Security : le réflexe prévention
Développé par les équipes de Profileo, PrestaScan Security est publié sous licence Apache 2.0. C’est un vrai projet open source, pas un produit gratuit-mais-fermé.
Ce qu’il fait bien :
- Il compare les modules installés et la version du cœur PrestaShop à une base de vulnérabilités connues (CVE) et signale ce qui doit être mis à jour.
- Il envoie une alerte e-mail quand une nouvelle faille est publiée pour un module que vous utilisez. C’est précieux : une faille connue et non corrigée est le vecteur d’intrusion numéro un.
- Il liste les répertoires non protégés et les modules inutilisés, avec la possibilité de les désactiver ou supprimer depuis une seule interface.
- Il couvre PrestaShop 1.5 à 9.0 — une amplitude que nous ne proposons pas.
Ce qu’il faut savoir : il requiert la création d’un compte sur leur service, et transmet à leurs serveurs l’URL de votre boutique, la liste de vos modules, la liste de vos répertoires et votre version de PrestaShop. Le contenu de vos fichiers, lui, n’est pas envoyé — les analyses de fichiers se font localement. C’est un compromis technique assumé et documenté, nécessaire à la génération de jetons sécurisés et au service d’alerte. À vous de juger s’il est acceptable dans votre contexte.
Sa limite structurelle : un scanner de vulnérabilités vous dit que votre porte a une serrure défectueuse. Il ne vous dit pas si quelqu’un est déjà entré.
Genisoft Security Scanner : la question d’après
C’est exactement le vide que nous avons voulu combler. Notre moteur ne cherche pas des versions vulnérables — il cherche des traces d’intrusion réelle.
Les fichiers, par analyse de flux de données
Le moteur ne se contente pas de chercher des mots-clés suspects comme eval ou base64_decode, qui apparaissent légitimement partout dans du code sain. Il confirme une menace uniquement quand une donnée issue d’une requête HTTP atteint réellement une écriture de fichier .php, ou quand du contenu téléchargé à distance est effectivement déployé puis exécuté.
Cette exigence de flux évite l’écueil classique des scanners trop bavards. Le moteur est validé sans aucune détection sur jQuery, jQuery UI, Bootstrap, Select2, swagger-ui, une intégration Stripe réelle et un extrait Google Analytics — tout en continuant à détecter les familles de skimmers réellement observées sur le terrain.
La base de données, là où personne ne regarde
C’est la vraie différence, et elle mérite qu’on s’y attarde.
Vous êtes piraté. Vous nettoyez les fichiers infectés, vous restaurez ce qui doit l’être, le site est propre. Quarante-huit heures plus tard, le malware est de retour. Vous recommencez. Il revient encore.
La raison est presque toujours la même : la charge utile n’était plus dans les fichiers. Elle attendait en base de données, et se réinstalle toute seule.
Les emplacements que nous inspectons, et qui sont ceux que les attaquants utilisent réellement :
ps_configuration— du JavaScript injecté dans les blocs de code personnalisé, en-têtes ou pieds de page. Il est réinjecté dans chaque page servie.ps_cronjobs— une tâche planifiée qui télécharge et exécute du code distant à intervalle régulier. Vous pouvez nettoyer les fichiers tous les jours, elle les recrée.ps_hook_module— un module désactivé dansps_module, mais toujours accroché à un hook front-office. Il est invisible dans la liste des modules actifs du back-office, et pourtant il s’exécute. C’est un grand classique.ps_employee— un compte administrateur créé par l’attaquant, qui lui rend l’accès même après que vous ayez changé votre mot de passe.ps_cms_lang,ps_meta_lang,ps_product_lang— iframes et scripts externes injectés dans les contenus.PS_SHOP_DOMAIN— le domaine de la boutique détourné vers une adresse qui n’est pas la vôtre.
Tant que cette couche n’est pas identifiée, chaque nettoyage de fichiers n’achète que quelques jours.
Lecture seule, sans exception
Le scanner n’émet que des requêtes SELECT et SHOW. Aucun fichier n’est modifié, supprimé, mis en quarantaine ni exécuté. Aucune ligne de base n’est touchée.
C’est un choix de conception, pas une limitation. Un outil qui « nettoie » automatiquement peut détruire un site parfaitement sain sur un faux positif — et vous ne vous en apercevrez qu’après. Nous préférons vous remettre un rapport avec les chemins, les preuves et les empreintes SHA-256, et vous laisser décider.
Une surveillance qui continue après le premier scan
Un scan ponctuel photographie un instant. La ré-infection, elle, survient plus tard — souvent plusieurs jours après que vous avez déclaré le site propre. Le module expose donc une URL de cron protégée par jeton, à planifier chez votre hébergeur : l’analyse se relance seule, et vous êtes alerté si quelque chose réapparaît.
C’est ce qui distingue un outil de diagnostic d’un outil de surveillance. Le premier vous dit où vous en êtes aujourd’hui ; le second vous prévient quand la situation change.
Le tableau comparatif
| PrestaScan Security | Genisoft Security Scanner | |
|---|---|---|
| Question posée | Ai-je des failles connues ? | Suis-je déjà compromis ? |
| Distribution | Gratuit, open source (Apache 2.0) | Module officiel PrestaShop Addons |
| Vulnérabilités CVE modules et cœur | ✅ Cœur de métier | ❌ Non |
| Alerte e-mail nouvelle faille | ✅ | ❌ |
| Détection de webshells et backdoors | ❌ | ✅ Analyse de flux de données |
| Card skimmers front-office | ❌ | ✅ Avec dé-obfuscation |
| Scan de votre base MySQL | ❌ | ✅ Persistance et ré-infection |
| Surveillance planifiée par cron | ❌ | ✅ Incluse |
| Compte distant requis | ✅ Oui | ❌ Non, 100 % local |
| Versions PrestaShop | 1.5 → 9.0 | 1.7 / 8 / 9 |
| Gestion des modules | ✅ Désactiver, supprimer | ❌ Détection seule |
Alors, lequel choisir ?
Installez PrestaScan dans tous les cas. Il est gratuit, open source, et l’alerte sur les nouvelles failles est un service que nous ne rendons pas. Si votre boutique tourne sous PrestaShop 1.5 ou 1.6, c’est même votre seule option des deux.
Ajoutez Genisoft si vous êtes dans l’une de ces situations :
- Vous avez déjà été piraté et l’infection est revenue après nettoyage.
- Vous constatez des symptômes de compromission — redirections étranges, clients signalant des débits frauduleux, alertes de votre hébergeur — sans avoir identifié la source.
- Vous gérez des boutiques pour des clients et devez pouvoir prouver l’état de santé d’une installation, avec des empreintes vérifiables.
- Vous ne pouvez pas transmettre la liste de vos modules et l’URL de vos boutiques à un service tiers.
Le module est téléchargeable directement sur la marketplace officielle : Genisoft Security Scanner sur PrestaShop Addons.
N’achetez pas Genisoft si vous cherchez simplement à savoir si vos modules sont à jour : PrestaScan fait ce travail mieux que nous, et gratuitement.
Ce qu’aucun scanner ne remplace
Un scanner constate. Il ne protège pas. Les fondamentaux restent :
des sauvegardes hors-ligne testées et restaurables ; des mises à jour appliquées rapidement ; des mots de passe uniques et l’authentification à deux facteurs sur le back-office ; un accès administrateur restreint par IP quand c’est possible ; et le principe du moindre privilège sur les comptes employés.
Un scanner vous dit que vous avez un problème. Ces mesures vous évitent de l’avoir.
Pour aller plus loin :
- Scanner de malwares WordPress Genisoft Security (notre scanner statique externe dédié aux sites WordPress et WooCommerce)
- Module Genisoft Security Scanner sur PrestaShop Addons
- Présentation complète du scanner de malwares PrestaShop
- Vulnérabilité de sécurité majeure sur les sites PrestaShop
- Sécurité PrestaShop : IA locale ou WAF cloud ?
- ZTNA ou VPN pour protéger votre back-office
