Sécurité et confidentialité

TellMyShop n’enregistre dans votre boutique que ce que vous approuvez, et chaque modification peut être annulée. Le chat se connecte à votre boutique avec OAuth 2.1, les données clients sont inaccessibles à l’IA et chiffrées dans l’historique des modifications, et le code a fait l’objet d’une revue de sécurité selon l’OWASP ASVS 5.0, l’OWASP Top 10 pour les applications LLM, OAuth 2.1 avec la RFC 9700 et le CWE Top 25. Cette page explique avec des mots simples comment cela fonctionne. La section de fin s’adresse à votre informaticien ou développeur.

En bref

• Un aperçu et votre accord pour chaque modification. Le chat montre avant → après et n’enregistre qu’après votre « oui ».
• Chaque modification peut être annulée : d’une phrase dans le chat ou depuis l’historique des modifications. Une sauvegarde complète de la base est faite avant la première modification de chaque jour.
• Connexion du chat avec OAuth 2.1. Le chat ne se connecte qu’après votre clic sur « Autoriser » dans la fenêtre de votre boutique. Aucun mot de passe ni clé à copier.
• Les données clients sont inaccessibles à l’IA et chiffrées dans l’historique des modifications et les sauvegardes de fichiers.
• Blocages permanents : mots de passe, clés API, paiements, taxes, statuts de commande et comptes sont hors de portée du chat à tous les niveaux.
• Sans intermédiaire : le chat se connecte directement au module de votre boutique.
• Revue de sécurité selon quatre normes, avec des tests automatiques et des tests dans une boutique PrestaShop (détails).

Rien ne change sans votre oui

Chaque modification se fait en trois étapes :

1. Aperçu. Le chat montre ce qu’il veut modifier : l’ancien et le nouveau texte, l’ancien et le nouveau prix, les avertissements.
2. Accord. Le chat attend. Il n’enregistre que lorsque vous répondez « oui ».
3. Enregistrement. La modification est enregistrée comme si un employé cliquait sur Enregistrer dans le back-office.

Un aperçu est valable 30 minutes et ne sert qu’une fois. Si quelqu’un modifie le même produit dans le back-office entre-temps, le chat doit vous montrer un nouvel aperçu.

La lecture (vérifications, recherches, rapports) ne modifie rien et ne demande pas d’accord.

Le standard TellMyShop : comment le chat parle des modifications

Avant chaque modification, le chat montre ce qui va changer, indique le risque et comment annuler, puis demande votre accord. Pour les prix et les promotions, vous recevez une courte fiche de risque.

Le module rappelle ce standard au chat à chaque connexion et à chaque aperçu. Plus le risque est élevé, plus le chat en dit :

Au-delà de 20 éléments, le chat montre d’abord 2–3 exemples et propose un essai sur un élément. Seul un « oui » clair à un aperçu précis vaut accord ; un « ok » sans contexte, une question, un « peut-être » ou l’absence de réponse ne valent pas accord. Après l’enregistrement, le chat vérifie le résultat, le résume avec des chiffres (par exemple « 28 sur 30, 2 ignorés parce que… ») et indique comment annuler.

Pour les modifications à faible risque, le chat n’ajoute volontairement aucun avertissement : trop d’avertissements habituent à cliquer « oui » sans lire.

Les règles de votre boutique pour le chat. Dans la carte Paramètres : sécurité, alertes, limites, vous écrivez vos propres règles, une par ligne, par exemple « Nous tutoyons nos clients », « Ne jamais utiliser le mot pas cher », « Descriptions jusqu’à 600 caractères » (jusqu’à 1000 caractères au total). Le chat les reçoit à chaque connexion. Elles ne désactivent jamais l’aperçu ni votre accord avant l’enregistrement.

Chaque modification peut être annulée

• Demandez « Qu’as-tu modifié hier ? » et le chat affiche la liste. La carte Historique des modifications du module l’affiche aussi.
• Demandez « Annule cette modification » et le chat rétablit la valeur précédente, là encore après un aperçu. Une série entière s’annule d’une phrase, même 40 produits à la fois.
• Les nouveaux produits, catégories et pages créés par le chat se suppriment de la même façon.
• Fichiers (thème, modules, fichiers de la boutique) : une sauvegarde est faite avant chaque modification, et vous la restaurez depuis le chat ou depuis la carte Sauvegardes de fichiers.
• Modifications de la base dans le domaine Maintenance : les lignes modifiées sont copiées d’abord.
• Adresses de pages : le chat remet l’ancienne adresse et vérifie que l’ancienne redirige.
• Base de données : le module sauvegarde toute la base de la boutique quand vous activez le connecteur, avant la première modification de chaque jour, avant l’activation de Thème, Modules ou Maintenance, et quand vous cliquez sur Sauvegarder maintenant. Les 2 dernières sauvegardes sont conservées, chiffrées.

Quelques opérations s’annulent autrement que depuis l’historique des modifications, par exemple la désinstallation d’un module ou une modification de la structure de la base en Maintenance. Le chat le signale dans l’aperçu, avant que vous approuviez quoi que ce soit, et propose une voie plus sûre, comme désactiver un module au lieu de le désinstaller.

Vous choisissez ce que le chat peut toucher

Le module lit toute la boutique dès le départ, sauf les blocages permanents. L’enregistrement s’active par domaine dans la carte Enregistrement par domaine :

• L’interrupteur est vérifié au moment où vous approuvez une modification. S’il expire pendant le travail, le chat s’arrête à l’aperçu et vous dit quoi activer.
• Vous pouvez connecter n’importe quel chat en Lecture seule : il ne voit alors aucun outil d’enregistrement.
• Sans licence Pro, le module lit seulement et prépare des plans ; il n’enregistre rien.
• Le chat travaille comme un employé à part, avec uniquement les droits que vous lui donnez. Le journal de la boutique montre tout ce qu’il a fait.
• Limites horaires : par défaut 300 appels, 150 enregistrements et 20 enregistrements de fichiers. Vous les changez dans la carte Paramètres : sécurité, alertes, limites. Avant un travail sur plus d’une vingtaine d’éléments, le chat vérifie qu’il tient dans les limites et propose sinon des étapes. Une série de modifications ne s’arrête jamais à mi-chemin.

Qui peut se connecter à votre boutique

Le chat se connecte à votre boutique avec OAuth 2.1. L’adresse de la boutique pour le chat n’est pas secrète, car l’adresse seule ne donne aucun accès. Un chat qui veut se connecter ouvre la fenêtre de votre boutique, et vous cliquez sur Autoriser ou Refuser et choisissez l’accès : lecture et modifications avec votre accord, ou lecture seule.

• Par défaut, seuls Claude et ChatGPT peuvent se connecter.
• Vous voyez chaque chat connecté dans la carte Chats connectés (qui l’a autorisé, depuis quand, dernière utilisation) et le déconnectez avec Déconnecter. Le chat perd l’accès immédiatement.
• Vous recevez un e-mail « Nouveau chat connecté à votre boutique » pour chaque nouvelle connexion.
• Les connexions passent uniquement par HTTPS.

N’autorisez que si vous venez vous-même de connecter un chat à votre boutique. TellMyShop ne vous demande jamais de saisir un code reçu par e-mail, téléphone ou chat.

L’ancienne adresse avec clé (avant 2.8) continue de fonctionner dans les boutiques mises à jour jusqu’à ce que vous la désactiviez dans Chats connectés → Avancé : comment les chats se connectent. Conservez une telle adresse comme un mot de passe. Dès que chaque chat se connecte par connexion OAuth, désactivez-la ; l’ancienne adresse est alors supprimée. Les nouvelles installations l’ont désactivée dès le départ.

Vous êtes informé de chaque changement important

• Un e-mail pour chaque nouveau chat connecté et chaque accès élargi : Ventes, Thème, Modules ou Maintenance activés, accès aux données clients activé, listes d’IP vidées, alertes désactivées.
• Un résumé quotidien par e-mail les jours où il s’est passé quelque chose : combien de fois le chat s’est connecté, ce qu’il a modifié et les éventuelles alertes.
• Une alerte en cas d’activité inhabituelle : beaucoup de modifications en peu de temps, ou une adresse bloquée après 20 tentatives de connexion échouées.
• Une vérification des fichiers du module. Si quelqu’un modifie ou ajoute un fichier dans le module, vous recevez une alerte.
• Une clé de secours. Si une modification technique laisse la boutique sur une page blanche, vous ouvrez l’adresse de secours, saisissez la clé, et le module remet les fichiers qu’il a modifiés. Cela fonctionne même quand la boutique ne se charge pas.

Les alertes partent vers l’adresse e-mail de la boutique, sauf si vous en indiquez une autre.

Sécurité supplémentaire pour les prix

• Un prix ne peut pas être mis à 0.
• Une modification de prix de plus de 30 % demande votre accord supplémentaire.
• Une remise de plus de 90 % demande votre accord supplémentaire ; au-delà de 50 %, vous recevez un avertissement.
• Les nouveaux codes de réduction démarrent désactivés. Vous les vérifiez avant que les clients puissent les utiliser.

Les données de vos clients

Les données clients sont inaccessibles à l’IA et chiffrées dans l’historique des modifications. La protection des données clients est une fonction à part, indépendante des domaines d’enregistrement : activer Ventes, Thème ou Modules n’expose aucune donnée personnelle. TellMyShop vous aide à respecter les exigences du RGPD, de l’UK GDPR, du CCPA/CPRA et de la LGPD.

Dans la carte Données clients (RGPD), vous choisissez l’un des trois niveaux :

• Inaccessibles (après l’installation). Le chat ne voit ni clients, ni adresses, ni messages. Les rapports de ventes montrent les produits et les montants, sans noms.
• Pseudonymisé. Le chat voit les commandes, les messages et les statistiques, mais les noms sont réduits aux initiales, et les e-mails, téléphones et adresses sont remplacés par un alias comme « Klient-3f9a1c ». Le chat peut dire « ce client a commandé 3 fois » sans savoir qui il est. Il ne peut pas modifier les données clients.
• Accès complet (temporaire). Pour 1, 4, 8 ou 24 heures, avec un motif que vous saisissez vous-même, par exemple « réclamation sur la commande 1234 ». Ensuite, l’accès revient tout seul au niveau précédent, et vous recevez un e-mail.

Comment cela fonctionne :

• Le module repère lui-même les données personnelles, y compris dans les tables de modules d’autres éditeurs (avis, newsletters, programmes de fidélité). La carte Données clients (RGPD) indique combien de tables il a trouvées.
• Chiffrement. Les entrées de l’historique contenant des données clients et toutes les sauvegardes de fichiers sont chiffrées (libsodium), et la clé se trouve dans un fichier hors de la base. Une fuite de la base seule n’expose pas ces entrées.
• Fichiers toujours bloqués : fichiers contenant des mots de passe et des clés, fichiers des clients (upload/, download/), journaux du serveur, dumps et sauvegardes de la base, .git et les fichiers du module lui-même. Dans les journaux et les messages, les e-mails, téléphones et adresses IP sont masqués.
• Journal d’audit : qui a activé l’accès complet aux données, la Maintenance et la licence, et quand. Il ne peut pas être vidé depuis le panneau ; vous le téléchargez en CSV.
• Le module RGPD de PrestaShop (psgdpr) : l’effacement ou l’export des données d’un client couvre aussi l’historique de TellMyShop.
• Textes pour les documents de votre boutique : le module propose une section pour la politique de confidentialité et une entrée pour le registre des traitements.

Votre boutique reste responsable du traitement des données de ses clients. Le partage des obligations figure dans l’accord de traitement des données.

Où vont vos données

• Le module tourne sur votre propre serveur. Le chat s’y connecte directement, sans intermédiaire.
• Quand le chat lit quelque chose, cela va de votre boutique vers votre compte Claude ou ChatGPT. Les conversations relèvent des conditions du fournisseur du chat ; TellMyShop ne les voit pas et n’entraîne pas de modèles avec elles.
• Le serveur de TellMyShop ne reçoit ni vos produits, ni vos commandes, ni vos clients. La vérification de licence envoie seulement votre clé de licence, le domaine de la boutique, un identifiant d’installation aléatoire et les numéros de version (module, PrestaShop, PHP). Dans le panneau, vous pouvez activer vous-même les statistiques de démarrage : des chiffres uniquement, sans contenu de la boutique ni données clients.

Le texte de votre boutique n’est pas une instruction

Une description de produit, un commentaire ou un message de client peut contenir un texte qui ressemble à une commande pour l’IA. TellMyShop a pour cela plusieurs protections à la fois : le chat a pour consigne de traiter le contenu de la boutique comme du texte, et les résultats qui contiennent du contenu de la boutique portent le même rappel. Les mots de passe, les paiements et les taxes sont bloqués définitivement, vous seul activez les domaines à risque, et chaque modification attend un aperçu et votre « oui ».

Revue de sécurité

En octobre 2026, la version 2.8 des modules et du site TellMyShop a fait l’objet d’une revue de sécurité point par point, avec des tests automatiques et des tests dans une boutique PrestaShop 8.1. Les corrections issues de la revue sont dans la version 2.8.1.

Validateur officiel des modules PrestaShop : aucune remarque dans les sections sécurité, licences, structure, traductions et optimisations (version 2.8.1). L’extension WordPress est conçue selon les règles de WordPress pour les extensions.

Vous avez trouvé une faille ? Écrivez à [email protected] avant de publier les détails.

Détails techniques

Connexion du chat (OAuth 2.1). Le module est le serveur d’autorisation et le serveur de ressources pour le chat. Authorization code uniquement, avec PKCE (S256) obligatoire ; pas de flux implicite ni de password grant. Correspondance exacte de l’URI de redirection (exception uniquement pour le port loopback, RFC 8252). Codes à usage unique ; une réutilisation révoque la connexion. Rotation du refresh token avec détection de réutilisation. Jetons opaques, envoyés uniquement dans l’en-tête Authorization, stockés uniquement sous forme d’empreinte SHA-256. Liaison au destinataire (RFC 8707 resource), iss dans la réponse (RFC 9207), métadonnées du serveur d’autorisation (RFC 8414) et de la ressource protégée (RFC 9728), WWW-Authenticate sur 401, enregistrement des clients (CIMD et RFC 7591) avec limites, révocation (RFC 7009). Fenêtre de consentement : jeton CSRF (HMAC) et cookie __Host-, frame-ancestors 'none', X-Frame-Options: DENY. Consentement : propriétaire connecté au back-office dans le même navigateur, ou code de la fenêtre du chat, valable 15 minutes, saisi dans la carte Chats connectés. Le scope shop.read masque les outils d’enregistrement. La connexion demande un hébergement qui transmet l’en-tête Authorization ; le test de connexion du panneau le vérifie.

Adresse avec clé (ancienne méthode). Un jeton statique dans l’URL (?token=) ou dans l’en-tête Authorization: Bearer, activé dans Chats connectés → Avancé ; désactivé dans les nouvelles installations. Seuls l’empreinte SHA-256 et un préfixe sont stockés ; le jeton complet s’affiche une fois ; un nouveau jeton révoque l’ancien immédiatement. Utilisez l’en-tête quand le client le permet.

Protections du point d’accès (src/Endpoint.php, dans cet ordre) :

IP du client : les en-têtes de proxy (CF-Connecting-IP, X-Forwarded-For) ne sont utilisés que si « Boutique derrière un proxy / Cloudflare » est activé et que le pair direct figure dans la liste des proxys de confiance.

Écritures. change_token = HMAC de l’outil, des arguments et d’une empreinte de l’état « avant » ; 30 minutes, usage unique ; l’exécution est bloquée si les données ont changé après l’aperçu. Les enregistrements passent par ObjectModel (ObjectWriter) : validation par champ, seuls les champs modifiés, hooks actionObject…Update*, entrée dans le journal PrestaShop avec l’ID de l’employé du connecteur, historique des modifications qui consigne chaque ligne modifiée, y compris celles modifiées au passage par d’autres modules. Détails : Spécification §5.

Fichiers. Thème : liste blanche Smarty et compilation de test (SmartyGuard), vérification JSON, avertissements pour les nouveaux scripts et domaines externes, thème parent en lecture seule. Modules et fichiers de la boutique (Files\Zone) : chemins relatifs uniquement, realpath() dans la zone, extensions texte uniquement ; paquets ZIP de modules vérifiés avant extraction (zip-slip). Toujours refusés : app/config/parameters.*, config/settings*.inc.php, .env*, *.key|pem|p12|crt|sql|sql.gz|dump|bak, .git, .svn, var/logs, upload, download, le répertoire privé du module et le module lui-même. Fichiers PHP : vérification de syntaxe avec token_get_all(TOKEN_PARSE) avant l’écriture ; aucun outil d’exécution de code. Chaque écriture est précédée d’une sauvegarde ; sauvegardes conservées 90 jours, au moins les 5 dernières par fichier. Récupération d’images et de paquets : IP publiques uniquement, figées pour la connexion, pas de redirection vers le réseau interne (SSRF).

SQL (domaine Maintenance). ps_db_query (Pro) : SELECT/SHOW/DESCRIBE/EXPLAIN dans une transaction READ ONLY, 200 lignes maximum, e-mails et téléphones masqués. ps_db_execute (interrupteur Maintenance, 3 h) : une instruction, sans commentaires (SqlGuard) ; UPDATE/DELETE sur une table sauvegardent d’abord les lignes concernées (1000 maximum) et sont annulés si plus de lignes changent que prévu ; INSERT s’annule en supprimant la ligne ; les changements de structure sont signalés dans l’aperçu. Toujours bloqués : employés, sessions, profils et accès, configuration (via ps_config, secrets masqués), webservice et clients API, tables du connecteur. Tables de données personnelles uniquement au niveau de données clients pseudo (masqué) ou full. La Maintenance est un accès technique complet, c’est pourquoi elle s’active pour 3 heures, demande une sauvegarde de la base réussie et est inscrite au journal d’audit.

Données clients (src/Privacy/PersonalData.php). Niveaux off / pseudo / full (CUSTOMER_DATA) ; full uniquement pour 1/4/8/24 h avec un motif indiqué et une confirmation explicite, puis retour au niveau précédent. Détection : liste fixe de tables de PrestaShop et de modules courants (customer, address, orders, cart, messages, newsletter, psgdpr…) plus toute table dont une colonne a un nom correspondant aux motifs e-mail, prénom/nom, téléphone, adresse, code postal, IP, date de naissance, numéro fiscal ou secret, lus dans information_schema ; tables métier (contact, store, supplier, manufacturer, warehouse, carrier) exclues. Masquage au niveau pseudo : e-mail, téléphone, adresse et numéros d’identité → alias Klient- + 6 caractères hexadécimaux (HMAC-SHA256 avec une clé quotidienne dérivée de var/tellmyshop/keys/pseudonym.key) ; nom → initiales plus l’alias ; IPv4 → deux premiers octets, IPv6 masquée ; date de naissance → année ; secrets → ***. Texte libre (journaux, messages, fichiers) : e-mails raccourcis en j***@g***.com, téléphones, IP, jetons et en-têtes Authorization masqués. ps_list_changes masque les données clients dans chaque entrée, quel que soit CUSTOMER_DATA.

Sauvegardes de la base (src/Storage/DbBackup.php). Dump SQL complet, gzip, chiffré, dans var/tellmyshop/db-backups/ ; créé à l’activation du connecteur, avant la première modification approuvée de la journée, avant Thème, Modules ou Maintenance, et avec Sauvegarder maintenant ; les 2 dernières sont conservées ; supprimées à la désactivation du connecteur et à la désinstallation. Ce n’est pas un instantané transactionnel. Gardez aussi vos propres sauvegardes du serveur.

Chiffrement (src/Security/Crypto.php). libsodium secretbox (XSalsa20-Poly1305), une clé aléatoire de 32 octets dans var/tellmyshop/keys/history.key, hors de la base. Chiffrés : l’historique des modifications des objets avec données clients, toutes les sauvegardes de fichiers et de la base. Sauvegardez le fichier de clé avec la sauvegarde du serveur et conservez la copie à part : sans la clé, les modifications chiffrées ne peuvent pas être annulées.

psgdpr. Hooks actionDeleteGDPRCustomer (efface les données du client de l’historique chiffré) et actionExportGDPRData (liste les opérations du connecteur qui ont concerné le client, sans les valeurs).

Alertes au propriétaire (src/Security/Alerts.php). E-mail et entrée de journal avec le statut ALERT pour : un nouveau chat connecté, données clients pseudo/full, domaine Ventes, Thème, Modules ou Maintenance activé, listes d’IP vidées, alertes désactivées, rafale d’écritures (20 en 10 minutes), blocage d’IP, atteinte à l’intégrité des fichiers du module. Le même événement au plus une fois par 15 minutes (événements du panneau toujours). Résumé quotidien une fois par 24 h. Intégrité (src/Security/Integrity.php) : SHA-256 de chaque fichier comparé au disque ; fichiers PHP modifiés, supprimés et ajoutés listés ; vérifié à chaque visite du panneau et au plus toutes les 6 h par le connecteur.

Clé de secours (src/Security/RescueKey.php). Affichée une fois ; seul son SHA-256 est stocké. Un script est copié à la racine de la boutique sous un nom aléatoire, car PrestaShop bloque les appels PHP directs dans modules/. Il restaure les fichiers modifiés par le connecteur et désactive la Maintenance ; les modifications de la base se restaurent depuis l’historique des modifications ou une sauvegarde de la base. Supprimé à la désinstallation.

Conservation. Journal des connexions 30 jours (7–180) ; historique des modifications 180 jours (30–730) ; sauvegardes de fichiers 90 jours avec au moins 5 par fichier ; sauvegardes de la base : les 2 dernières.

Pas nécessaires : PrestaShop Account, Eventbus. Appels sortants : le serveur de licences (https://tellmyshop.com/api/v1), les pages de la boutique elle-même (HttpProbe, vérifications d’URL), les URL de paquets ZIP de modules et d’images que le chat transmet à la demande du propriétaire.

Liste de contrôle pour l’informaticien

• Employé et profil dédiés, inactifs, pas SuperAdmin (le bouton du panneau pour le compte du connecteur s’en charge).
• Liste Chats connectés vérifiée, chats inconnus déconnectés ; chats qui n’ont pas besoin d’enregistrer connectés en « Lecture seule ».
• Adresse avec clé désactivée si elle n’est pas nécessaire.
• Ventes, Thème, Modules et Maintenance activés uniquement pendant le travail ; clé de secours générée et conservée hors de la boutique.
• Données clients sur « Inaccessibles », sauf si une tâche en a besoin ; accès complet uniquement avec un motif indiqué.
• Listes d’IP autorisées vérifiées ; réglage du proxy correct si la boutique est derrière Cloudflare.
• Adresse e-mail des alertes vérifiée.
• Fichier de la clé de chiffrement sauvegardé avec la sauvegarde du serveur.
• ps_check_shop_health lancé avant les modifications importantes.

---

PrestaShop est une marque déposée de PrestaShop SA. Claude est une marque d’Anthropic. ChatGPT est une marque d’OpenAI. TellMyShop n’est affilié à aucune d’entre elles.