Nous avons mesuré 244 boutiques PrestaShop francophones en ligne le 13 octobre 2026. Une sur cinq tourne encore sur PrestaShop 1.6, abandonné par l'éditeur depuis plus de sept ans. Et parmi les boutiques qui affichent leur version de PHP, 93 % utilisent une version qui ne reçoit plus aucun correctif de sécurité.
Les chiffres clés
- 22 % des boutiques (54 sur 244) tournent sur PrestaShop 1.6, dont la maintenance officielle s'est arrêtée le 30 juin 2019.
- 93 % des versions de PHP affichées (96 sur 103) ne sont plus maintenues par l'équipe de PHP.
- 34 % des boutiques qui affichent PHP (35 sur 103) utilisent encore PHP 5, dont le dernier correctif de sécurité date de décembre 2018.
- 11 % des boutiques (27 sur 244) ne sont pas servies en HTTPS, et 3 % (8) présentent un certificat invalide.
- 50 % des boutiques (123 sur 244) cumulent au moins un de ces signaux : PrestaShop 1.6, PHP non maintenu, absence de HTTPS ou certificat invalide.
- Moins de 1 % (2 boutiques) utilisent le thème Hummingbird, devenu le thème par défaut avec PrestaShop 9.1.
Comment nous avons mesuré
Nous sommes partis de 485 boutiques repérées comme PrestaShop par notre outil de veille (recherches web et annuaires de boutiques). Le 13 octobre 2026, un robot identifié comme « WebSentinel-Etude » a chargé la page d'accueil de chacune, une seule fois, exactement comme le ferait un visiteur. Aucun fichier de configuration n'a été sondé, aucune page d'administration n'a été visitée et aucune faille n'a été testée.
Sur ces 485 adresses, 459 répondaient. Nous n'avons gardé que les sites où PrestaShop est confirmé par au moins deux indices, dont un fourni par le serveur (balise generator, cookie PrestaShop, fichiers de modules ou de thème servis par le site), et dont la page est déclarée en français. Il en reste 244, majoritairement en .fr (109) et en .com (104), avec quelques boutiques suisses et belges.
Ce qui est mesuré, et comment :
- La version de PrestaShop : déduite des fichiers que la page charge. Les thèmes et modules de PrestaShop 1.6 (thème default-bootstrap, modules block*) sont très différents de ceux de la version 1.7 et suivantes (modules ps_*, thème classic).
- La version de PHP : lue dans l'en-tête HTTP « X-Powered-By » que certains serveurs envoient à chaque visiteur. 103 boutiques sur 244 (42 %) l'affichent.
- Le HTTPS : adresse finale atteinte après redirections, et validité du certificat.
Les limites de cette mesure
- L'échantillon n'est pas un tirage au hasard de toutes les boutiques françaises. Ce sont des boutiques repérables de l'extérieur comme PrestaShop, ce qui peut surreprésenter les sites anciens, moins personnalisés.
- De l'extérieur, PrestaShop 1.7, 8 et 9 se ressemblent beaucoup. Nous les regroupons donc dans une seule catégorie « 1.7 ou plus récent », sauf quand le thème Hummingbird, introduit avec PrestaShop 9, est visible.
- Les chiffres PHP ne portent que sur les 103 boutiques qui affichent leur version. Les autres la masquent, ce qui est d'ailleurs une bonne pratique.
Une boutique sur cinq tourne encore sur PrestaShop 1.6
PrestaShop a cessé de maintenir la version 1.6 le 30 juin 2019, comme annoncé par l'éditeur. Depuis, plus aucun correctif de sécurité n'est publié pour cette version. Pourtant, 54 des 244 boutiques mesurées l'utilisent encore.
| Version détectée | Boutiques | Part |
|---|---|---|
| PrestaShop 1.6 | 54 | 22 % |
| PrestaShop 1.7 ou plus récent (1.7, 8 ou 9) | 170 | 70 % |
| Thème Hummingbird visible (thème par défaut depuis PrestaShop 9.1) | 2 | 1 % |
| Version indéterminée | 18 | 7 % |
| Total | 244 | 100 % |
Ces boutiques 1.6 cumulent les retards. Parmi les 32 qui affichent leur version de PHP, toutes utilisent une version qui n'est plus maintenue, et 28 tournent encore sous PHP 5.4, 5.5 ou 5.6. Une sur quatre (14 sur 54) n'est pas non plus servie en HTTPS. Nous avons détaillé les risques et les options dans notre article sur la fin de vie de PrestaShop 1.6.
PHP : 93 % des versions affichées ne sont plus maintenues
PHP est le langage sur lequel tourne PrestaShop. Chaque version reçoit des correctifs de sécurité pendant une durée limitée, publiée par l'équipe de PHP. Au 13 octobre 2026, seules les versions 8.2, 8.3, 8.4 et 8.5 sont encore maintenues, et la 8.2 cessera de l'être le 31 décembre 2026.
| Version de PHP affichée | Boutiques | Fin des correctifs de sécurité |
|---|---|---|
| 5.4, 5.5 et 5.6 | 35 | 2015 à 2018 |
| 7.0 | 11 | janvier 2019 |
| 7.1 | 6 | décembre 2019 |
| 7.2 | 11 | novembre 2020 |
| 7.3 | 5 | décembre 2021 |
| 7.4 | 14 | novembre 2022 |
| 8.0 | 4 | novembre 2023 |
| 8.1 | 10 | décembre 2025 |
| 8.2 | 3 | maintenue jusqu'au 31 décembre 2026 |
| 8.3 et 8.4 | 4 | maintenues |
| Total | 103 | 96 non maintenues (93 %) |
Une version de PHP non maintenue ne casse pas la boutique du jour au lendemain. Le risque est ailleurs : quand une faille est découverte dans PHP, elle n'est plus corrigée pour ces versions, et la boutique reste exposée tant qu'elle n'est pas mise à niveau. Changer de version de PHP oblige souvent à mettre à jour PrestaShop et ses modules en même temps : nous expliquons quelle version de PHP convient à chaque version de PrestaShop dans notre guide de compatibilité.
Autre constat : 111 boutiques sur 244 (45 %) envoient l'en-tête « X-Powered-By » à chaque visiteur. Il n'est pas dangereux en soi, mais il indique gratuitement à n'importe quel robot quelle version de PHP attaquer. Le masquer prend deux minutes dans la configuration du serveur.
11 % des boutiques ne sont toujours pas en HTTPS
27 boutiques sur 244 restent servies en HTTP simple, sans chiffrement, en 2026. Le navigateur affiche alors « Non sécurisé » à côté de l'adresse, ce qui fait fuir une partie des clients avant même la page de paiement. 8 autres boutiques (3 %) ont bien le HTTPS, mais avec un certificat invalide qui déclenche un avertissement plein écran. Les boutiques en 1.6 sont les plus touchées : 14 des 27 boutiques sans HTTPS tournent sur cette version.
Ce que la mesure ne permet pas de voir : 1.7, 8 ou 9
70 % des boutiques sont dans la catégorie « 1.7 ou plus récent ». Ce n'est pas une garantie de mise à jour. Selon le blog officiel du projet PrestaShop (février 2026), PrestaShop 9.0 est la version principale maintenue, la 8.2 ne reçoit plus que des correctifs de sécurité, et les branches 1.7.7, 1.7.8, 8.0 et 8.1 ont été retirées du dépôt officiel car inactives depuis longtemps. Autrement dit, une boutique en 1.7, 8.0 ou 8.1 n'est plus maintenue non plus.
Seules 2 boutiques sur 244 affichent Hummingbird, proposé en option avec PrestaShop 9.0 puis devenu le thème par défaut avec la version 9.1. Beaucoup de boutiques à jour gardent le thème Classic ou un thème personnalisé, donc ce chiffre sous-estime sûrement la part réelle de PrestaShop 9. Mais il donne un ordre d'idée : la migration vers la version 9 commence à peine.
Une boutique sur deux cumule au moins un signal
En additionnant les constats (PrestaShop 1.6, PHP non maintenu, absence de HTTPS, certificat invalide), 123 boutiques sur 244 présentent au moins un signal visible de l'extérieur. C'est un minimum : nous ne voyons pas les modules non mis à jour, les comptes d'administration mal protégés ni l'état des sauvegardes, qui sont souvent la vraie cause des piratages que nous traitons.
Votre boutique est-elle concernée ?
- Vérifiez votre version de PrestaShop : elle est affichée en bas de l'écran d'accueil du back-office, ou dans Paramètres avancés, Informations.
- Vérifiez votre version de PHP : au même endroit (Paramètres avancés, Informations), ou dans l'espace client de votre hébergeur.
- Si vous êtes en 1.6 ou sous PHP 7 : la mise à niveau ne se fait pas en un clic. Elle se prépare sur une copie de la boutique, avec un inventaire des modules et du thème. Notre page migration vers PrestaShop 9 détaille la méthode.
- En attendant : sauvegardes externalisées testées, modules à jour, accès administrateur renforcé. C'est ce que couvre une maintenance PrestaShop, et un audit PrestaShop permet de prioriser.
Citer cette étude
Les chiffres de cette page peuvent être repris librement avec un lien vers cette page : « Mesure WebSentinel de 244 boutiques PrestaShop francophones, 13 octobre 2026 ». Les boutiques mesurées ne sont pas nommées et ne le seront pas. Nous referons la mesure régulièrement pour suivre l'évolution.
