WooCommerce est un outil puissant et flexible qui vous permet de gérer une boutique en ligne. Pour ce faire, il autorise notamment les plugins à personnaliser certaines parties de votre site — comme la page de paiement — grâce à un mécanisme appelé les « filtres » WordPress.
Cette flexibilité est un atout, mais elle comporte aussi un risque : si vous installez un plugin malveillant, celui-ci peut modifier discrètement votre page de paiement de manière dangereuse, et WooCommerce ne peut pas l'en empêcher.
On parle ici d'injection de malware, de vol de données de carte bancaire et de violations de conformité. Sans oublier les dommages causés à votre marque et à la confiance de vos clients…
Le point d'entrée des attaques sur la page de paiement dans WooCommerce
En examinant les passerelles de paiement WooCommerce (carte de crédit et eCheck), nous avons constaté que les plugins peuvent injecter leur propre HTML directement dans le formulaire de paiement.
Extrait de code : Comment WooCommerce intègre le HTML des plugins dans la page de paiement
$fields = wp_parse_args(
$fields,
apply_filters('woocommerce_credit_card_form_fields', $default_fields, $this->id)
);
foreach ($fields as $field) {
echo $field; // Affiche tel quel le HTML fourni par le plugin
}
WooCommerce part du principe que les plugins se comportent correctement. Mais le problème, c'est qu'il ne vérifie ni ne nettoie ce que le plugin envoie. Un plugin peut ajouter n'importe quoi, y compris des scripts dangereux.
Comment les plugins WooCommerce peuvent compromettre vos pages de paiement
Imaginons qu'un propriétaire de boutique WooCommerce installe un plugin douteux, peut-être téléchargé depuis un site peu fiable ou développé par un inconnu.
Ce plugin pourrait injecter une ligne de code comme celle-ci :
$fields['malicious_field'] = '<script>/* mauvais JavaScript ici */</script>';Ce code apparaîtrait alors sur votre page de paiement, et chaque visiteur chargerait ce script. Comme WooCommerce ne nettoie pas cette sortie, le script malveillant s'exécute dans le navigateur de vos utilisateurs. Les conséquences peuvent être graves.
Les plugins WooCommerce douteux volent les données de vos clients
Si un plugin malveillant venait à injecter une ligne de code dangereuse, voici ce qui pourrait se produire :
- Vol d'informations de paiement comme les données de carte bancaire ou d'eCheck.
- Prise de contrôle des sessions clients par le vol de cookies.
- Redirection des utilisateurs vers de fausses pages (phishing) imitant votre site.
- Atteinte à votre marque : les utilisateurs perdent confiance si votre site est compromis.
Il s'agit d'un problème de chaîne d'approvisionnement : un seul plugin malveillant peut nuire à l'ensemble de votre boutique.
Ce n'est pas un bug WooCommerce, c'est un problème général côté navigateur
Pour être clair, WooCommerce ne fait rien de mal ici. C'est ainsi que les filtres sont censés fonctionner dans WordPress.
Mais une fois un plugin installé, WooCommerce n'a aucun moyen de savoir si ce plugin est fiable ou non. Les plugins peuvent toucher des parties sensibles de votre site, comme le formulaire de paiement, ce qui ouvre la porte à des problèmes.
Chaque plugin ajoute un risque. Plus vous en installez, plus les choses peuvent mal tourner.
Même si WooCommerce en tant que plateforme est sécurisé, un plugin malveillant peut tout de même causer des dommages considérables à votre site.
Comment détecter et se protéger contre les plugins WooCommerce malveillants
1. Évaluer la source du fournisseur
Mieux vaut prévenir que guérir : posez-vous deux questions rapides.
- Puis-je faire confiance à cette source ?
- D'où vient ce plugin ?
En cas de doute : évitez les téléchargements de fichiers zip au hasard. Ça ne vaut pas le risque. Restez prudent et téléchargez uniquement des plugins depuis des sources fiables, comme le répertoire WordPress officiel ou des fournisseurs reconnus. Vérifiez notamment :
- Les avis (note moyenne et date des commentaires récents)
- Si l'éditeur est un particulier ou une entreprise
2. Le plugin est-il activement maintenu ?
N'installez pas un plugin les yeux fermés, même depuis des sources fiables. Les plugins populaires peuvent être abandonnés. Jetez un œil rapide : quand a eu lieu la dernière mise à jour ? Des mises à jour rares, voire inexistantes, signifient que le plugin n'a pas reçu les correctifs de sécurité nécessaires.
3. Faites le point sur vos plugins (mettez à jour et supprimez les plugins inutilisés)
Tout administrateur WordPress tombe dans ce piège. On installe des plugins et on les oublie complètement. Prenez l'habitude de passer en revue et de nettoyer votre liste de plugins. Simplifiez-vous la vie : gardez une liste courte et claire. Si vous n'en avez pas besoin, supprimez-le.
Pensez à mettre à jour vos plugins régulièrement. Ces mises à jour contiennent souvent des correctifs de sécurité qui, sans elles, laisseraient votre site vulnérable. Et lorsque vous « désinstallez » un plugin, assurez-vous de suivre un processus de désinstallation complet. Certains plugins laissent du code sur votre serveur même après leur désinstallation.
4. Recherchez les vulnérabilités connues
Une simple recherche Google peut vous éviter bien des problèmes. Lancez une recherche sur Google ou un LLM de ce type : [nom du plugin] security vulnerabilities.
Cette capture d'écran montre les résultats pour une vulnérabilité connue d'une application d'avis qui a exposé 80 000 sites web. Si vous identifiez une faille de sécurité, choisissez un plugin différent ou attendez que l'équipe de développement ait corrigé le problème dans le plugin que vous évaluez.
5. Utilisez un outil de surveillance
Pour automatiser cette démarche, vous pouvez sécuriser vos plugins à l'aide d'un outil de surveillance. Si du code suspect s'infiltre, vous en serez informé immédiatement, avant qu'il ne nuise à votre boutique ou à la confiance de vos clients.
Il existe plusieurs plugins de sécurité dans l'écosystème WordPress qui offrent cette fonctionnalité (pensez à évaluer leur sécurité également).
Vous pouvez aussi utiliser une solution comme cside qui bloque les injections de scripts tout en protégeant vos utilisateurs contre une multitude d'attaques côté client, notamment :
- L'e-skimming, l'exposition de données personnelles, les redirections malveillantes et le vol de sessions par cookies
Maintenez WooCommerce à jour
Les mises à jour récentes de WooCommerce traitent de plus en plus les injections de scripts et les attaques de type cross-site scripting. De nombreuses attaques réussies contre des marchands sont dues à l'utilisation d'une version obsolète de WooCommerce. Assurez-vous que votre site utilise la dernière version disponible (vérifiez votre liste de plugins WordPress pour voir si des mises à jour sont disponibles).
Ce que WooCommerce peut faire
Il y a votre responsabilité, et il y a celle de WooCommerce. Chacun doit prendre des mesures pour assurer la sécurité. Les propriétaires de boutiques sont responsables des plugins qu'ils choisissent et utilisent. C'est le prix à payer pour la flexibilité et la facilité d'utilisation qu'offre WooCommerce avec les filtres WordPress. Cela dit, quelques garde-fous supplémentaires de la part de WooCommerce pourraient aider.
Pourquoi ne pas nettoyer le code des plugins et supprimer les scripts dangereux avant que les clients ne les utilisent ? WordPress dispose déjà d'outils comme wp_kses() qui éliminent les scripts dangereux, et WooCommerce pourrait les utiliser ici.
Plutôt que d'injecter du HTML brut, WooCommerce pourrait utiliser des champs structurés. Par exemple, le plugin définit ce dont il a besoin et WooCommerce génère le HTML. Ainsi, WooCommerce garde le contrôle.
Il pourrait également envoyer un avertissement aux propriétaires de boutiques ou aux administrateurs si un plugin tente de modifier le formulaire de paiement. Cela apporterait une protection supplémentaire là où c'est vraiment important.
Bien que les propriétaires de boutiques soient responsables de ce qu'ils installent, WooCommerce pourrait ajouter certaines protections, comme :
- Échapper ou assainir le HTML généré par les plugins à l'aide de fonctions comme
wp_kses(). - Passer du HTML brut à des champs structurés, afin que WooCommerce contrôle le rendu final.
- Avertir les administrateurs lorsque des plugins modifient des parties sensibles de la page de paiement.
Conclusion
Il ne s'agit pas d'une nouvelle vulnérabilité alarmante ni d'un défaut de WooCommerce — c'est simplement le fonctionnement du système de plugins. Mais c'est aussi un rappel important :
La sécurité de votre boutique dépend entièrement des plugins que vous installez.
Si vous utilisez WooCommerce (ou toute plateforme similaire), traitez chaque plugin comme s'il avait accès au portefeuille de vos clients — parce que c'est souvent le cas.
