Analyse de sécurité : installation et aide

Prérequis

Nécessite PrestaShop 1.7 ou ultérieur et PHP 7.1 ou ultérieur.

Security Scan est sous licence AFL-3.0. Installez le ZIP de publication via "Modules" > "Module Manager" > "Upload a module". Ouvrez "Security Scan" > "Scan & Report". Le module ajoute "History" et "Settings", comprenant "Configuration" et "System Check".

Le scanner détecte des problèmes et fournit des étapes de correction manuelle. Il ne bloque pas les requêtes, ne corrige pas les fichiers de la boutique, ne modifie pas les paramètres de sécurité et ne supprime pas les logiciels malveillants. L'exécution d'une analyse enregistre son rapport et son résumé dans la table de base de données du module.

Ouvrez "Security Scan" > "Settings" > "Configuration".

Cliquez sur "Save settings", puis sur "Back to scan".

La limite de l'échantillon de code statique est de 1 200 fichiers PHP lorsque l'analyse approfondie est activée et de 300 lorsqu'elle est désactivée. La limite de l'échantillon pour les logiciels malveillants est de 2 500 fichiers avec l'analyse approfondie activée et de 600 lorsqu'elle est désactivée. Ces analyses sont limitées et ne constituent pas une inspection complète de chaque fichier.

Première analyse

1. Ouvrez "Security Scan" > "Scan & Report".
2. Cliquez sur "Run scan now".
3. Examinez le score, la date, la durée de l'analyse et les résultats.
4. Lisez d'abord les résultats "Critical" et "High", puis "Medium" et "Low".
5. Inspectez chaque élément concerné et suivez les étapes de correction manuelle applicables.
6. Cliquez sur "Re-scan now" après avoir effectué les corrections.

Le rapport est organisé comme suit :

Le scanner ne compare pas tous les fichiers du cœur aux empreintes des versions officielles. Ses motifs de logiciels malveillants et ses contrôles de code peuvent manquer des problèmes et signaler du code légitime. Un résultat sans alerte signifie que ces contrôles n'ont trouvé aucun problème du type qu'ils recherchent.

Score et historique

Le score commence à 100. Le poids attribué à chaque problème détecté est déduit du score, qui reste compris entre 0 et 100.

Ouvrez "Security Scan" > "History" pour comparer les 30 derniers résumés enregistrés. Chaque ligne affiche la date, le score, la note, le nombre de problèmes et le déclencheur. "History" est une liste de résumés ; la page d'analyse affiche le dernier rapport.

Utilisez le score pour décider quoi examiner en premier. Il n'atteste pas que la boutique est sûre et ne constitue ni un test d'intrusion ni un rapport de réponse à incident. Si vous suspectez une compromission active, préservez les preuves et organisez une investigation de l'incident avant de supprimer des fichiers.

Fonctionnement local

L'analyse normale lit les fichiers locaux, la configuration et les données de base de données via une protection limitant les requêtes à la lecture seule. Elle stocke ses résultats localement. Lorsque les contrôles d'URLs publiques sont activés, elle effectue aussi des requêtes protégées vers la boutique elle-même. Le processus d'analyse local ne téléverse pas son rapport vers mypresta.rocks.

Parc géré

L'inscription au parc est facultative et n'est pas nécessaire aux analyses locales. Le contrôleur "Fleet Connector" existe mais est masqué dans le menu latéral. Ouvrez-le via le lien de connexion fourni par votre processus de gestion de parc.

Sur cet écran, saisissez "Hub URL" et "Enrollment token" provenant de votre hub Security Revolution, puis cliquez sur "Connect this shop". Après l'inscription, utilisez "Poll hub now" pour vérifier la connexion et consultez "Connector status", "Last poll" et "Last error".

L'inscription connecte la boutique à un processus de rapport distant et autorise les demandes d'analyse signées et consenties. Les résultats partagés via ce processus sortent du fonctionnement uniquement local décrit ci-dessus. Protégez les jetons d'inscription et d'interrogation.

Le module ne fournit ni commande CLI de scanner ni planification automatique des analyses. Si vous gérez le serveur, vous pouvez initialiser la boutique souhaitée et appeler le service depuis votre propre script PHP :

require '/var/www/html/config/config.inc.php';
require _PS_MODULE_DIR_ . 'mprsecurityscan/vendor/autoload.php';

$run = \MPRSecurityScan\Service\ScanRunner::runAndStore('cron', null, [
    'allow_network' => false,
    'deep_scan' => true,
]);

echo 'Scan #' . (int) $run['id_scan'] . ' stored' . PHP_EOL;

Remplacez le chemin d'initialisation par le chemin réel de votre boutique. Exécutez le script avec un compte pouvant lire les fichiers de la boutique et accéder à sa base de données. L'argument cron étiquette le déclencheur enregistré ; il ne crée pas de tâche planifiée.

Confirmer la première exécution

Vérifiez que la date du rapport change, qu'un score apparaît et que "History" gagne une ligne. Examinez les erreurs de contrôle signalées ainsi que les résultats. Après une correction manuelle, lancez une autre analyse et comparez le contrôle concerné.

Problèmes courants

• Les contrôles d'exposition ne donnent aucun résultat. Vérifiez l'interrupteur "Confirm exposure by self-checking public URLs", le domaine de la boutique et la capacité du serveur à joindre sa propre adresse publique. Lorsque cet interrupteur est désactivé, l'analyse ne peut pas savoir si un fichier est accessible de l'extérieur.
• L'analyse prend trop de temps. Désactivez "Deep scan (code & malware heuristics)" et réessayez. Vérifiez la limite d'exécution de l'hébergement et l'accès aux fichiers si l'échec persiste.
• Une alerte de code ou de logiciel malveillant semble incorrecte. Comparez le fichier indiqué à une source connue comme saine. Une correspondance de motif ne justifie pas à elle seule sa suppression.
• Aucun historique ou erreur de table du module. Ouvrez "Security Scan" > "Settings" > "System Check" et inspectez le résultat de l'infrastructure du module.

Enregistrez les rapports dont vous avez besoin avant de désinstaller via "Module Manager". La désinstallation supprime le menu du module, ses tables déclarées, dont l'historique des analyses et les enregistrements du connecteur, ainsi que sa configuration. La réinstallation ne restaure pas cet historique.

• Page de l'outil
• Guide du scanner
• Security Revolution