Pour les équipes e-commerce

Sécurisez votre tunnel de paiement avant la haute saison

Un tunnel de paiement compromis coûte plus cher que des ventes perdues. Il déclenche des enquêtes PCI DSS, des notifications aux clients et une atteinte durable à la réputation. Penetrify teste votre boutique en continu pour qu'aucune vulnérabilité ignorée ne vous prenne de court.

The problem

Why E-commerce security is uniquely hard

💳

Le skimming Magecart commence par une XSS

La majorité des attaques Magecart de vol de données de carte commencent par une vulnérabilité XSS stockée qui injecte un script dans la page de paiement. Penetrify détecte les XSS, y compris les XSS stockées dans les avis produits, les profils utilisateur et les champs du CMS, avant que les attaquants n'en fassent une arme.

🛒

Les bugs de logique de paiement coûtent directement du chiffre d'affaires

La manipulation de prix, l'abus de codes promo et l'écrasement du total du panier sont des vulnérabilités de logique métier que les scanners DAST ne testent pas. L'IA de Penetrify comprend les parcours applicatifs : elle teste si votre logique tarifaire peut être contournée, pas seulement si votre serveur présente un CVE connu.

📦

PCI DSS se moque que ce soit venu d'un plugin

Si un plugin tiers a introduit la vulnérabilité ayant conduit à l'exposition de données de carte, c'est toujours vous qui affrontez l'enquête PCI DSS. Des tests d'intrusion réguliers sont exigés, pas seulement des scans réseau trimestriels, et la responsabilité vous incombe quelle que soit l'origine du code.

What Penetrify finds

Real E-commerce vulnerabilities,
in minutes

Penetrify's AI agent reasons about your application the way an attacker would: testing authorization boundaries, probing business logic, and chaining findings into exploitable paths.

Run your first scan free
penetrify scan: yourstore.com
$ penetrify scan https://yourstore.com
// Initializing AI-driven reconnaissance...
◉ Mapping attack surface...
◉ Testing authentication & authorization...
◉ Probing business logic & API flows...
 
▸ CRITICAL XSS stocké dans le champ d'avis produit : s'exécute dans le contexte du paiement, un vecteur de skimming Magecart
▸ CRITICAL IDOR sur /orders/:id : tout client connecté peut consulter les commandes et données personnelles d'autres clients
▸ HIGH Manipulation de prix : le total du panier peut être modifié via un paramètre d'API avant la capture du paiement
▸ HIGH Injection SQL dans la recherche produit : toute la base clients est lisible via une injection UNION
 
✓ Scan complete → app.penetrify.cloud/reports

Compliance

Frameworks that require penetration testing

PCI DSS 4.0

Exigence 11.4.1 : méthodologie de test d'intrusion documentée ; tests au moins tous les 12 mois et après tout changement significatif de l'environnement des données de titulaires de carte

PCI DSS 4.0 (client-side)

Exigences 6.4.3 et 11.6.1 : inventaire et autorisation des scripts des pages de paiement et détection d'altération, obligatoires depuis le 31 mars 2025

GDPR

Article 32 : test régulier des mesures techniques protégeant les données personnelles

SOC 2 Type II

CC6.1 : contrôles d'accès logiques avec preuves de tests d'intrusion

In depth

What E-commerce teams actually need to know

PCI DSS 4.0 s'attaque à Magecart : exigences 6.4.3 et 11.6.1

Depuis le 31 mars 2025, deux exigences de PCI DSS 4.0 jusque-là différées sont obligatoires, et toutes deux existent à cause de l'e-skimming. L'exigence 6.4.3 impose que chaque script chargé sur vos pages de paiement soit inventorié, autorisé et vérifié en intégrité, y compris les balises tierces que vous n'avez pas écrites. L'exigence 11.6.1 impose un mécanisme de détection des modifications et des altérations qui alerte en cas de modification non autorisée des scripts de la page de paiement et des en-têtes HTTP relatifs à la sécurité, tels que le navigateur du consommateur les reçoit.

Ce sont des contrôles anti-Magecart : ils supposent que l'attaquant parviendra à placer un script dans votre tunnel de paiement et s'assurent que vous le remarquiez. Le test d'intrusion s'attaque à l'étape d'avant : la XSS stockée dans un champ d'avis, le panneau d'administration vulnérable ou le bloc CMS injectable qui donne à l'attaquant l'exécution de script en premier lieu. Un tunnel de paiement dans lequel on ne peut rien injecter, c'est le contrôle qui garde les alertes 6.4.3 et 11.6.1 silencieuses.

Si vous acceptez les paiements via une iframe ou une page de paiement hébergée, lisez tout de même attentivement les exigences : les commerçants en SAQ A ne sont pas exemptés de la logique de gestion des scripts sur la page qui intègre l'iframe, et votre acquéreur vous posera la question.

Logique de paiement : les vulnérabilités qui n'ont pas de CVE

Les vulnérabilités e-commerce les plus précieuses relèvent de la logique métier, pas des correctifs manquants : des totaux de panier recalculés côté client et acceptés côté serveur, des codes promo cumulables parce que chaque chemin de code les valide indépendamment, des race conditions qui permettent de dépenser deux fois le solde d'une carte cadeau, et des API de commande qui divulguent les adresses d'autres clients via des identifiants séquentiels. Rien de tout cela ne figure dans une base CVE, les outils fondés sur des scanners ne peuvent donc structurellement pas les trouver.

L'agent IA de Penetrify teste ces parcours comme un fraudeur les travaille : en manipulant prix et quantités à chaque étape entre le panier et la capture, en rejouant et en parallélisant les requêtes, en sondant la logique des codes promo et de fidélité, et en parcourant les identifiants de commande d'un compte à l'autre. Avant chaque haute saison, c'est le test dont votre tunnel de paiement a réellement besoin.

Common findings

What Penetrify finds in E-commerce applications

CRITICALXSS stockée dans les avis produits, les profils utilisateur ou le contenu du CMS : s'exécute dans le contexte du paiement (vecteur Magecart)
CRITICALIDOR sur les identifiants de commande : tout client authentifié peut consulter les commandes et données personnelles d'autres clients
HIGHManipulation de prix : total du panier ou prix des articles modifiables via des paramètres d'API avant la capture du paiement
HIGHInjection SQL dans les paramètres de recherche, de filtrage ou de tri des produits
HIGHContournement de la logique des codes promo : usage illimité de codes à usage unique, cumul de remises non cumulables
MEDIUMÉnumération de comptes au paiement : une différence de réponse révèle si une adresse e-mail est enregistrée
MEDIUMProcessus de réinitialisation de mot de passe non sécurisé : jetons prévisibles ou absence d'expiration des liens
LOWDonnées personnelles clients sensibles (adresse, téléphone) renvoyées dans les réponses d'API pour des requêtes produit non authentifiées

Why Penetrify

Built for E-commerce security requirements

Trouve les XSS avant qu'elles ne deviennent du skimming

Penetrify teste systématiquement chaque champ de saisie contrôlé par l'utilisateur (avis produits, champs de profil, contenu du CMS, formulaires d'adresse) pour y trouver des XSS stockées et réfléchies. Trouver une XSS avant qu'elle n'atteigne votre tunnel de paiement, c'est la différence entre un bug corrigé et une notification de violation.

Teste la logique de paiement, pas seulement les en-têtes

La manipulation de prix, les contournements de logique de codes promo et l'écrasement du total du panier sont des vulnérabilités de logique métier invisibles aux scanners qui se contentent de vérifier des en-têtes. L'IA de Penetrify teste si vos parcours de paiement appliquent les règles tarifaires de façon cohérente sur tous les chemins de code.

Des preuves PCI DSS avant la visite de votre QSA

Penetrify produit des rapports de tests d'intrusion structurés avec notation de sévérité et recommandations de correction. Vous abordez l'évaluation QSA avec des preuves documentées de tests de sécurité continus, sans avoir à organiser une mission à la dernière minute.

Testez avant le Black Friday, pas après

La haute saison est le pire moment pour découvrir une vulnérabilité. Lancez un test d'intrusion complet en staging six semaines avant votre pic de trafic, puis après chaque version importante. À $1,700/month pour 20 scans, les tests de sécurité entrent dans le calendrier e-commerce.

FAQ

E-commerce security questions

Qu'est-ce que Magecart et comment Penetrify protège-t-il contre cette menace ?

Magecart désigne une catégorie d'attaques où du JavaScript malveillant est injecté dans les pages de paiement d'un site e-commerce afin de voler les données de carte au moment où le client les saisit. Les attaques Magecart commencent généralement par une vulnérabilité XSS stockée sur le site ciblé. Penetrify détecte les XSS stockées dans les avis produits, les profils utilisateur, les champs du CMS et tout autre contenu contrôlé par l'utilisateur avant que les attaquants ne puissent les exploiter pour injecter des scripts de skimming.

Penetrify teste-t-il les boutiques WooCommerce, Shopify ou Magento ?

Penetrify teste les applications web au niveau HTTP, quelle que soit la plateforme sous-jacente. Il peut tester des thèmes et plugins WooCommerce personnalisés, des vitrines Shopify headless avec tunnels de paiement sur mesure et des instances Magento 2. Les schémas de vulnérabilité propres aux plateformes (failles de plugins, points d'injection dans les thèmes, endpoints d'API) font partie du périmètre du scan.

Penetrify peut-il détecter les vulnérabilités de manipulation de prix ?

Oui. Penetrify teste les vulnérabilités de logique métier, dont la manipulation de prix : à savoir si les paramètres de total du panier ou de prix d'un article peuvent être modifiés via des appels d'API avant la capture du paiement. Cette classe de vulnérabilités est invisible pour les scanners DAST traditionnels, qui ne testent que des schémas techniques connus, et n'apparaît pas dans les bases CVE.

En quoi Penetrify aide-t-il à la conformité PCI DSS en e-commerce ?

L'exigence PCI DSS 11.4 impose des tests d'intrusion au moins annuels et après tout changement significatif. Penetrify fournit un test continu qui satisfait l'exigence « après changement significatif » à chaque déploiement, et les rapports de scan structurés donnent à votre QSA une preuve documentée d'évaluation de sécurité continue. De nombreuses organisations utilisent Penetrify pour la couverture continue et y ajoutent une mission manuelle annuelle pour l'évaluation QSA formelle.

Dois-je exécuter Penetrify en staging ou en production ?

Les deux, avec des configurations différentes. Lancez des tests complets sur le staging avant chaque version importante ; c'est là que vous attrapez les vulnérabilités avant que les clients n'y soient exposés. En production, les scans authentifiés légers de Penetrify permettent de vérifier que le code déployé correspond aux résultats du staging sans perturber le trafic réel. N'exécutez jamais de scan agressif directement en production sans l'avoir d'abord testé en staging.

Get started

Find your first E-commerce vulnerability today

Penetrify starts at $100/month. Run your first scan in minutes, with no agent installation, no scoping calls, no contract.