BotShield
Les robots restent à la porte de votre Dolibarr et de votre boutique PrestaShop.
BotShield vérifie qu'un humain est bien derrière l'écran, sans puzzle à résoudre et sans service extérieur. Il existe en deux modules du même nom : l'un protège la connexion à Dolibarr, l'autre les pages de votre boutique PrestaShop.
- Vérification anti-robot invisible, sans puzzle ni service extérieur
- Dolibarr : connexion et API protégées, IP bloquées après trop d’échecs
- PrestaShop : catalogue protégé, moteurs de recherche et réseaux sociaux laissés passer
Disponible sur demande : nous vous répondons rapidement · Documentation · Besoin d’aide ?
- Version
- 1.0.0
- Dolibarr
- 18 et plus récent
- PrestaShop
- 8 (module dédié)
- Langues
- Licence
- GPL v3
- Éditeur
- THERSANE
Mise en routeNiveau de compétences conseillé, touchez une jauge pour le détail
- Installation · Niveau 2 sur 5À l’aiseUn peu de lecture : une option ou un second module à activer, une tâche planifiée de Dolibarr à vérifier.
- Configuration · Niveau 3 sur 5AvancéDe nombreuses options, à choisir en connaissant bien Dolibarr.Les réglages par défaut protègent tout de suite, mais la liste blanche, les proxys et les seuils de blocage dépendent de votre réseau : une erreur peut bloquer des connexions.Nous pouvons nous en charger avec vous
- Utilisation · Niveau 1 sur 5AccessibleÉvident dès le départ, rien à apprendre.
Fonctionnalités
Ce que BotShield fait pour vous
Une même protection, deux modules
Les deux versions reposent sur la même technique : une preuve de travail (protocole AltCha). Le navigateur du visiteur résout un petit calcul en arrière-plan, signé par votre serveur. Pour un humain, c'est imperceptible. Pour un robot qui enchaîne des milliers de requêtes, chacune a un coût. Le widget est servi par le module lui-même : aucune donnée ne part chez Google, Cloudflare ou un autre tiers.
| BotShield pour Dolibarr | BotShield pour PrestaShop | |
|---|---|---|
| Ce qui est protégé | La page de connexion et l'API REST | Les listes de produits à facettes, la recherche et le formulaire de contact |
| Contre quoi | Les essais de mots de passe en masse (force brute) | Le pillage du catalogue (scraping) et la charge serveur qu'il provoque |
| Ce que voit l'utilisateur | Une case « Je ne suis pas un robot » qui se coche toute seule pendant la saisie, ou rien du tout | Rien dans la plupart des cas : la vérification se fait pendant la navigation |
| Les bons robots | Liste blanche d'IP pour vos scripts et serveurs | Moteurs de recherche, réseaux sociaux et robots d'IA vérifiés laissés passer |
| Les insistants | IP bloquée après trop d'échecs, calcul plus difficile à chaque échec | Calcul à refaire régulièrement, robots usurpés listés |
BotShield pour Dolibarr : la page de connexion
Un mot de passe n'est testé que si le navigateur a fourni une preuve valide. Une attaque par force brute devient lente et coûteuse, et chaque refus est tracé.
Une vérification pendant la saisie
Le calcul démarre à l'ouverture de la page et se termine pendant que l'utilisateur tape son identifiant et son mot de passe. La case « Je ne suis pas un robot » se coche toute seule. Une option la rend totalement invisible.
Un calcul par tentative
Une preuve ne sert qu'une fois : impossible de résoudre un seul calcul puis de tester des milliers de mots de passe avec. Chaque essai coûte un nouveau calcul.
Les IP trop insistantes bloquées
Après 10 échecs en 15 minutes, l'adresse IP est bloquée 30 minutes, et le calcul devient deux fois plus difficile à chaque nouvel échec, jusqu'à 16 fois. Tous ces seuils se règlent. L'onglet « IP bloquées » permet de débloquer en un clic.
L'API REST aussi
À partir de Dolibarr 22, les échecs sur l'API comptent avec ceux de la page de connexion : une IP bloquée reçoit un refus immédiat. Un interrupteur désactive la connexion par mot de passe de l'API si personne ne s'en sert.
Tracé et visible
Les tentatives refusées apparaissent dans les événements de sécurité de Dolibarr. Un journal optionnel alimente fail2ban, et la page Captcha de Dolibarr indique que BotShield protège la connexion.
Sans bloquer les vôtres
Liste blanche d'adresses IP ou de plages pour le réseau du bureau et vos scripts. Le blocage porte sur l'IP, jamais sur le compte : personne ne peut bloquer l'administrateur en se trompant exprès de mot de passe.
BotShield pour PrestaShop : les pages de la boutique
Les robots qui aspirent un catalogue parcourent toutes les combinaisons de filtres : couleur, taille, prix, tri, pagination. Chaque page coûte des requêtes à la base. BotShield arrête ces visites avant le moindre calcul de liste, et laisse passer ceux qui vous apportent des clients.
Les listes à facettes protégées
Catégories, recherche, marques, fournisseurs, formulaire de contact et filtres de la navigation à facettes. La vérification intervient avant le chargement de la liste : un robot refusé ne coûte presque rien au serveur.
Les bons robots passent
Google, Bing, Apple, DuckDuckGo et les autres moteurs, les aperçus de liens de Facebook, Instagram, LinkedIn, X ou Pinterest, et les robots d'IA (ChatGPT, Perplexity…). Chaque catégorie s'active à part.
Vérifiés par leur adresse, pas par leur nom
N'importe quel script peut se déclarer « Googlebot ». BotShield vérifie l'adresse IP : plages officielles publiées par l'éditeur, ou double résolution DNS. Les plages se mettent à jour chaque jour, sans ralentir les visiteurs.
Invisible pour vos clients
Pendant qu'un client consulte l'accueil ou une fiche produit, la vérification se fait en arrière-plan. Il arrive sur les listes déjà vérifié, pour une heure. La page « Vérification en cours » ne s'affiche que pour une arrivée directe sur une page protégée.
Les aperçus de liens WhatsApp
WhatsApp, Telegram, Slack ou Discord ne publient pas de moyen de les vérifier. Une option les laisse passer de façon restreinte : la première page d'une liste, sans filtre ni tri, avec un nombre de requêtes limité.
Les usurpateurs repérés
La configuration liste les dernières visites qui se faisaient passer pour un robot connu sans que l'adresse IP le confirme.
Ce que BotShield ne fait pas
BotShield élimine les robots ordinaires : scripts sans JavaScript, requêtes en masse, essais de mots de passe à la chaîne. Un robot équipé d'un vrai navigateur peut résoudre le calcul, mais chaque tentative lui coûte du temps, et c'est ce qui rend l'attaque peu rentable.
Pour une protection complète, nous conseillons de le combiner avec une limitation côté serveur, par exemple fail2ban ou la limitation de débit de nginx. Nous pouvons vous aider à la mettre en place.
Un besoin particulier autour de BotShield ?
Nous l’installons, le paramétrons et l’adaptons à votre façon de travailler. Et si le module ne suffit pas, nous développons ce qui manque.