Faille live_edit=1 de PrestaShop : protéger le dossier d'administration d'une boutique

Article historique, réécrit en 2026. La faille décrite concernait PrestaShop de la version 1.4 à la version 1.6.0.9 environ. Si votre boutique utilise encore ces versions, elle cumule d’autres risques : la dernière partie de l’article vous concerne directement.

Ce qu’était la faille

PrestaShop proposait une fonction Live Edit pour réorganiser visuellement les blocs du front-office. L’adresse de cette page contenait le paramètre live_edit=1 et le nom du dossier d’administration de la boutique.

Le problème : la page restait accessible après la déconnexion de l’administrateur, et le mode Live Edit restait actif pendant la navigation. Une fois l’adresse diffusée, les moteurs de recherche pouvaient l’indexer. À l’époque, une simple recherche inurl:live_edit=1 faisait apparaître plusieurs centaines de boutiques, et autant de dossiers d’administration révélés.

Comment une adresse privée devient publique

Sans s’en rendre compte, on peut rendre une adresse privée publique en :

• la collant dans un forum ou un e-mail pour demander de l’aide ;
• la copiant dans une barre de recherche ;
• naviguant avec une extension de navigateur ou un antivirus qui transmet les adresses visitées ;
• passant par un proxy qui enregistre les URL.

Pourquoi c’est grave

Connaître le nom du dossier d’administration, c’est connaître la porte d’entrée du back-office : produits, prix, clients, modes de paiement. Il reste à trouver l’identifiant et le mot de passe, mais l’attaquant a déjà franchi la première étape, et les pirates ne se contentent plus de défigurer un site : ils gardent les accès et exploitent les données.

Vérifier si votre boutique est concernée

Recherchez inurl:live_edit=1 site:votreboutique.fr dans un moteur de recherche. Ce n’est pas exhaustif, mais un résultat signifie que l’adresse de votre back-office est publique.

Ce qu’il faut faire

1. Renommer le dossier d’administration si son nom a pu être exposé.
2. Changer les mots de passe des comptes administrateurs, avec des mots de passe longs et uniques, et supprimer les comptes inutilisés.
3. Restreindre l’accès au back-office par adresse IP, ou par une authentification supplémentaire au niveau du serveur.
4. Utiliser le Live Edit, s’il existe encore sur votre version, depuis un navigateur dédié, sans extensions.

Ce que cette faille dit d’une boutique ancienne

En 2014, la réponse passait par un correctif ciblé. Aujourd’hui, une boutique en PrestaShop 1.5 ou 1.6 tourne sur des versions de PHP qui ne reçoivent plus de correctifs de sécurité, avec des modules souvent abandonnés. La protection repose alors sur une démarche d’ensemble :

• des sauvegardes testées et restaurables ;
• la surveillance des journaux et des fichiers modifiés ;
• les mises à jour de sécurité appliquées et testées en préproduction ;
• un plan de montée de version ou de migration, décidé sur la base d’un audit.

Aller plus loin

• Maintenir une boutique PrestaShop legacy sans bloquer son activité
• Sécuriser et maintenir votre boutique
• Audit et conseil