2FA back-office : protégez vos accès admin - Module PrestaShop

Sécurisez votre Back-Office PrestaShop avec l'Authentification Double Facteur (2FA)

Saviez-vous qu'un mot de passe, aussi complexe soit-il, ne suffit plus à garantir la sécurité de votre boutique en ligne ? Face à la recrudescence du phishing et du vol d'identifiants, l'accès à votre administration est la cible privilégiée des pirates. Notre module Two-Factor Authentication (2FA) ajoute une seconde étape à chaque connexion : le code à 6 chiffres d'une application installée sur le smartphone de l'employé. Avec une licence valide, un mot de passe volé ne suffit plus : aucune page, aucun formulaire et aucun appel AJAX ne s'exécute dans votre back-office sans ce code. Sans licence valide, le module se désactive : aucun code n'est demandé et les pages du module sont fermées, mais les inscriptions, les codes de secours, les appareils de confiance, les réglages et le journal sont conservés.

Un second verrou contre le vol de mot de passe

La sécurité de votre chiffre d'affaires et la protection des données de vos clients sont vos priorités. Le module repose sur la norme ouverte TOTP (Time-based One-Time Password, RFC 6238), prise en charge par les applications d'authentification courantes : le code change toutes les 30 secondes et ne fonctionne qu'une seule fois. Vous renforcez ainsi la protection des données personnelles de votre boutique et la confiance au sein de votre équipe de gestion ; le journal des accès aide à documenter vos obligations RGPD.

Une connexion qui ne ralentit pas votre équipe

Une double authentification que l'on contourne parce qu'elle fatigue ne protège plus personne. Le module réduit le nombre de codes demandés sans affaiblir le contrôle :

• Un code par mois et par navigateur : l'appareil de confiance est mémorisé 30 jours (réglable), quelle que soit l'adresse IP. Chaque employé voit ses appareils et retire ceux qu'il n'utilise plus.
• Une session vérifiée de 12 heures : un seul code par journée de travail, même sur un poste non mémorisé. La durée se règle de 1 à 168 heures et la déconnexion la termine.
• Une saisie rapide : le code part dès le sixième chiffre, et la case « Se souvenir de cet appareil » est cochée par défaut (réglable).

Les fonctionnalités clés

• Compatibilité universelle : Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden ou toute application TOTP. Activation par QR code, par clé de configuration lisible ou par le bouton « Ouvrir dans l'application » sur téléphone.
• Gestion granulaire des profils : rendez la 2FA obligatoire pour les profils critiques (ex. SuperAdmin) et laissez les autres l'activer eux-mêmes depuis « Mon authentification à deux facteurs ».
• Période de grâce configurable : laissez quelques jours (7 par défaut) à vos collaborateurs pour s'équiper avant de rendre la double authentification obligatoire. Le délai court à partir du jour où le profil devient obligatoire, et un bandeau indique les jours restants.
• Blocage après codes erronés : après 5 codes faux (réglable), le compte est bloqué 15 minutes (réglable). Le blocage est enregistré en base : se reconnecter ne remet pas les essais à zéro.
• Tableau de bord et journal : les super-administrateurs voient qui est protégé, qui est bloqué et qui doit encore configurer sa 2FA, et consultent l'historique des vérifications, des échecs et des modifications de sécurité.
• Réinitialisation d'un collègue : un employé a perdu son téléphone ? Un super-administrateur réinitialise ou débloque son compte en quelques clics, en confirmant avec son propre code.
• Contrôle avant toute action : lorsque le module est actif, le code est exigé avant l'exécution d'une page, d'un formulaire ou d'un appel AJAX. Changer de téléphone ou créer de nouveaux codes de secours demande aussi un code valide.

Une licence valide, une protection continue

La double authentification ne s'applique qu'avec une licence valide. Si la licence est absente, expirée, suspendue ou révoquée, ou si le domaine ou la signature n'est pas reconnu, le module se désactive sur toutes les boutiques : aucun code n'est demandé à la connexion et les pages du module sont fermées. Les inscriptions, les codes de secours, les appareils de confiance, les réglages et le journal sont conservés, et la boutique reste accessible : seul le mot de passe protège alors le back-office. Le formulaire de licence reste accessible depuis Configurer.

Activez ou renouvelez la licence depuis cette page, en choisissant le contexte couvrant toutes les boutiques en multiboutique : le module se réactive aussitôt et, dès la page suivante, le back-office redemande le code. Une licence payée n'est pas coupée par erreur : le module conserve la protection sept jours après la date de fin enregistrée, interroge le serveur au plus une fois par heure et tolère sept jours de réponses temporaires à partir du premier échec. Une réponse définitive (licence expirée, suspendue ou révoquée, domaine ou signature non reconnus) est appliquée immédiatement.

Pourquoi choisir cette solution pour votre boutique PrestaShop ?

Contrairement à d'autres solutions complexes, notre module a été pensé pour les e-commerçants exigeants qui ne veulent pas sacrifier leur temps. Il offre un équilibre entre haute sécurité et confort d'utilisation.

• Sérénité : votre catalogue, vos marges et vos fichiers clients sont protégés par un double verrou numérique.
• Toujours une porte de secours : 10 codes de secours à usage unique par employé, la réinitialisation par un super-administrateur, le fichier DISABLE_2FA et la commande console wepresta:2fa:disable vous évitent un blocage définitif.
• Léger : aucun override, aucune bibliothèque PHP tierce, des secrets chiffrés et authentifiés, une archive de moins de 250 Ko.
• Une licence valide, sans ressaisie : sans licence, le module se désactive et conserve inscriptions, codes de secours et réglages ; dès l'activation ou le renouvellement, la protection reprend sans réinscrire les employés.

Une installation simple, rapide et efficace

Pas besoin d'être un expert en cybersécurité pour protéger votre business. L'installation se fait en quelques clics directement depuis votre gestionnaire de modules. Une fois activé, le module guide chaque employé pas à pas dans la configuration de son application mobile : deux minutes suffisent. Désignez les profils obligatoires, et votre back-office PrestaShop bénéficie d'une protection de niveau professionnel, prête à affronter les menaces du web moderne.

Compatibilité

Compatible avec PrestaShop 1.7.8, 8.0+ et 9.0+, avec PHP 7.4 minimum (extensions json, openssl et mbstring). PrestaShop 1.7.7 et les versions antérieures ne sont pas prises en charge. Une seule archive convient à ces versions. L'interface est disponible en français, anglais, espagnol, italien et polonais. Sur PrestaShop 1.7, la page de configuration signale trois anciens scripts autonomes de PrestaShop (backup.php, pdf.php, get-file-admin.php) à supprimer : ils répondent à un employé connecté sans passer par le contrôle du module.

Le support est assuré depuis votre espace client WePresta ou par email à mail@wepresta.shop, selon l'option de support de votre offre. Lire la documentation complète