Faille PHP : 4 questions à poser à votre prestataire logistique
Le 21 octobre, deux failles critiques ont été révélées dans PHP. Nous avons mis nos sites web hors ligne par précaution. Le WMS, le traitement des commandes et les entrepôts ont continué de tourner : tout est parti à l’heure.
Prêt à faire passer votre fulfilment e-commerce à l’échelle supérieure?
Le 20 octobre, l’équipe de PHP annonce une mise à jour de sécurité exceptionnelle pour deux failles critiques. Elles permettent à un attaquant d’exécuter du code à distance sur un serveur. Les correctifs sortent le 21 octobre, annoncés pour 16h, heure de Paris. Le 22, le CERT-FR, le centre d’alerte de l’ANSSI, indique avoir connaissance de preuves de concept, c’est-à-dire des démonstrations techniques d’attaque, pour des déploiements spécifiques de PHP.
Pour une boutique en ligne, l’enjeu est direct. Cybermalveillance.gouv.fr juge ces failles particulièrement critiques pour les sites transactionnels, ceux qui manipulent des données sensibles et ceux qui sont reliés à des systèmes internes. Les versions antérieures à PHP 8.2 ne sont plus supportées et ne reçoivent pas de correctif.
Et PHP est partout : il fait tourner 70,8 % des sites dont le langage serveur est connu. WooCommerce, PrestaShop et Magento reposent dessus.
Pourquoi l’informatique de votre logisticien vous concerne
Vous externalisez votre logistique. Vous externalisez aussi une grande partie de votre informatique. Vos commandes circulent via des connexions avec votre boutique, vos marketplaces et vos transporteurs. Si un maillon tombe, votre client le voit tout de suite.
Avec un prestataire touché par la panne, vous reconnaissez vite les symptômes :
Des commandes qui arrivent en retard, ou pas du tout, à l’entrepôt ;
Des colis qui ratent l’heure limite d’enlèvement et partent un jour plus tard ;
Des stocks qui ne remontent plus vers votre boutique, donc des produits vendus alors qu’ils n’existent plus ;
Un suivi de colis faux ;
Un service client qui reçoit des questions auxquelles vous ne pouvez pas répondre.
À quelques semaines du Black Friday (27 novembre), quelques heures d’arrêt peuvent coûter cher en chiffre d’affaires et en confiance.
Chez Monta, les commandes ont continué de partir
Depuis plus de 25 ans, nous développons et gérons nos systèmes nous-mêmes. C’est ce qui nous permet de réagir vite. Quelques principes :
Des systèmes séparés. Nos sites web externes sont indépendants du WMS, du traitement des commandes et des entrepôts. Un souci sur un site n’atteint pas vos commandes.
Dans le doute, on choisit la sécurité. Nous avons mis nos sites web externes hors ligne le temps de tout mettre à jour et de tout vérifier.
Des logiciels à jour. Pas de versions obsolètes, uniquement des plateformes modernes et très bien sécurisées.
Des correctifs rapides et une surveillance continue. Nous repérons souvent les anomalies avant qu’elles aient un impact.
Un double de secours et des sauvegardes. Une réplique complète prête à prendre le relais, et une stratégie de sauvegarde conforme aux standards.
« Dès que nous avons su que les failles étaient exploitées, nous n’avons pas attendu. Nous avons mis nos sites web externes hors ligne par précaution. Nos systèmes opérationnels sont volontairement séparés de ces sites : le WMS et le traitement des commandes ont donc continué de tourner. En parallèle, nous avons surveillé de très près les connexions avec nos partenaires et tenu nos clients informés, via notre logiciel et par e-mail. »
Rachel Egas, Head of IT chez Monta
Vos autres partenaires comptent aussi
Transporteurs, plateformes e-commerce, plug-ins, logiciels connectés : beaucoup tournent sur PHP. S’ils sont touchés, ou s’ils coupent leurs systèmes par précaution, vous le ressentez sur :
les livraisons et le suivi des colis ;
le paiement dans votre boutique ;
votre portail de retours ;
les commandes qui arrivent via une connexion.
C’est pourquoi nous surveillons de très près les connexions et le flux de commandes. Si un problème chez un partenaire affecte vos commandes, nous vous prévenons via MontaPortal ou par e-mail.
Faille ou fuite de données : ne confondez pas
Une faille n’est pas une fuite. Tant qu’elle n’a pas servi à accéder à des données, il n’y a pas de violation de données au sens du RGPD. Mais si les données personnelles de vos clients (noms, adresses, e-mails) sont compromises, vous avez des obligations, quelle que soit la taille de votre entreprise.
En tant que e-commerçant, vous êtes responsable de traitement. Dans tous les cas, vous consignez l’incident dans un registre des violations. S’il présente un risque pour les personnes, vous le notifiez à la CNIL au plus tôt, et au maximum 72 heures après en avoir pris connaissance. Le compteur ne démarre pas à l’incident, mais quand vous avez la certitude raisonnable qu’il a touché des données.
Votre logisticien, lui, est votre sous-traitant. Il doit vous alerter « dans les meilleurs délais » pour que vous puissiez tenir ces 72 heures. La CNIL recommande de le prévoir noir sur blanc dans le contrat.
4 questions à poser à votre logisticien
Un doute sur la protection de votre logistique ? Posez ces questions à votre prestataire actuel, ou à celui que vous envisagez.
Comment prouvez-vous que la sécurité informatique est une priorité (certifications, audits, politique de mises à jour) ?
Que deviennent mes commandes si vos systèmes tombent ?
Comment, et sous quel délai, serai-je prévenu en cas d’incident, y compris s’il touche des données personnelles ?
Qui surveille les connexions avec ma boutique et mes transporteurs en dehors des heures de bureau ?
Une informatique fiable est la base d’une bonne logistique, au même titre qu’un picking juste et rapide ou un emballage sur mesure.
Vous voulez savoir comment Monta traite vos commandes de façon fiable et à l’heure, même aux périodes les plus chargées ? Planifiez un échange avec notre équipe. Réponse sous un jour ouvré.
Avec plus de 7 ans d'expérience en marketing digital, Marion Picaud est spécialisée dans les stratégies de contenu et le référencement naturel (SEO). Elle accompagne les entreprises dans le développement de leur visibilité, l'acquisition de trafic qualifié et la création d'une relation durable avec leur audience. À travers ses analyses et ses conseils pratiques, elle partage des stratégies concrètes pour aider les marques à atteindre leurs objectifs de croissance.
Personnalisé et flexible
Plus de 25 ans d'expérience
Garantie de performance à 99,98 %
