Vulnérabilité de Formidable Forms : alerte sur la sécurité des paiements WordPress

Une faille de sécurité vient d’être découverte dans un plug-in de générateur de formulaires WordPress très répandu, et elle met le doigt sur un enjeu crucial pour les propriétaires de sites web : l’intégrité de la vérification des paiements. Cette faille permet à des pirates de contourner la validation des paiements et, potentiellement, de recevoir des produits ou des services sans en payer le prix complet.

Pour les entreprises qui s’appuient sur des formulaires en ligne pour encaisser des paiements, qu’il s’agisse d’inscriptions à des événements, de téléchargements numériques, d’adhésions ou de prestations de services, ce type de défaut peut entraîner de lourdes pertes financières et nuire à leur réputation.

Dans cet article, nous allons décortiquer ce qui s’est passé, expliquer pourquoi ces failles de vérification des paiements surviennent, et voir comment des solutions de formulaires modernes comme Jotform permettent de réduire ces risques grâce à des intégrations de paiement sécurisées et une infrastructure de formulaires fiable.

Ce qui s’est passé : le contournement de la vérification des paiements dans Formidable Forms

Une faille de sécurité révélée le 13 mars 2026 dans le plug-in WordPress Formidable Forms a soulevé des inquiétudes quant à la vérification des paiements dans les systèmes de formulaires en ligne. Formidable Forms est l’un des générateurs de formulaires glisser-déposer les plus prisés : plus de 300 000 sites WordPress l’utilisent pour créer des formulaires de contact, des sondages, des inscriptions et des formulaires de paiement.

Des chercheurs en sécurité ont constaté qu’un défaut dans l’intégration de paiement Stripe du plug-in permettait aux pirates de contourner la vérification correcte des paiements.

Concrètement, la faille permettait à un pirate de réutiliser un PaymentIntent Stripe déjà validé lors d’un paiement de faible montant et de l’appliquer à une transaction bien plus coûteuse.

En pratique, un pirate pouvait procéder ainsi :

1. Effectuer un paiement de faible montant via un formulaire créé avec Formidable Forms.
2. Récupérer le PaymentIntent Stripe lié à cette transaction.
3. Réutiliser ce PaymentIntent au moment de soumettre un autre formulaire exigeant un montant plus élevé.
4. Faire croire au système que la transaction coûteuse était réglée, alors que le paiement complet n’avait jamais été effectué.

Le problème venait du fait que le plug-in se contentait de vérifier le statut du PaymentIntent Stripe, sans contrôler le montant attendu ni son lien avec la soumission précise du formulaire.

Résultat : dès lors qu’un PaymentIntent avait déjà été marqué comme réussi, le système pouvait valider à tort un achat d’un montant plus élevé.

La faille a été référencée sous le code CVE-2026-2890 et a reçu un score CVSS de 7,5 (élevé). Elle touche toutes les versions de Formidable Forms jusqu’à la 6.28 incluse, et a été corrigée dans la version 6.29.

Comment encaisser vos paiements en toute sécurité avec Jotform

Si vous encaissez des paiements via des formulaires en ligne, mieux vaut choisir des outils qui proposent des processus de paiement sécurisés et des intégrations de confiance.

Jotform est un générateur de formulaires no code utilisé par des entreprises, des associations et des organisations du monde entier pour collecter des informations et des paiements grâce à des formulaires en ligne.

Jotform intègre nativement plus de 40 prestataires de paiement via sa bibliothèque d’intégrations de paiement :

Ces intégrations permettent de relier vos formulaires à des plateformes de paiement reconnues comme Stripe, PayPal, Square, Authorize.net, Braintree, Apple Pay ou encore Google Pay.

Elles permettent ainsi aux entreprises d’encaisser leurs paiements en toute sécurité pour :

• des inscriptions à des événements
• des adhésions
• des commandes de produits
• des dons
• des réservations de prestations

Comme les paiements transitent par les API officielles des prestataires, la validation des transactions et l’infrastructure de sécurité restent conformes aux bonnes pratiques de chaque plateforme de paiement.

Comment utiliser Jotform sur un site WordPress

Beaucoup de propriétaires de sites s’appuient sur WordPress tout en voulant un système de formulaires et de paiements sécurisé. Plutôt que d’installer des plug-ins de formulaires complexes au sein même de WordPress, de nombreuses équipes préfèrent intégrer des formulaires issus de plateformes externes. Jotform propose justement un plug-in WordPress léger qui permet d’intégrer facilement vos formulaires dans vos pages :

Avec le plug-in Jotform Online Embed Forms, vous créez vos formulaires à l’aide du puissant générateur de formulaires no code de Jotform, puis vous les ajoutez à votre site WordPress en quelques clics. Aucune ligne de code n’est nécessaire, et vous pouvez entièrement personnaliser vos formulaires pour qu’ils s’accordent au design de votre site.

Une fois installé, le plug-in vous permet de :

• intégrer vos formulaires Jotform existants directement dans vos pages ou articles WordPress ;
• afficher des formulaires de paiement sécurisés pour vos produits, inscriptions ou dons ;
• recueillir les réponses aux formulaires, les fichiers déposés et les paiements de vos visiteurs ;
• gérer les soumissions, les notifications et les flux de travail depuis le tableau de bord Jotform.

Cette architecture présente un atout de taille : la logique des formulaires et le traitement des paiements se déroulent en dehors de l’environnement des plug-ins WordPress. Comme les plug-ins WordPress s’exécutent au sein du serveur du site, une faille dans l’un d’eux peut parfois exposer l’ensemble du site à des risques. En intégrant des formulaires hébergés ailleurs, les entreprises séparent le contenu de leur site de l’infrastructure qui gère leurs formulaires et leurs paiements.

5 bonnes pratiques pour des formulaires de paiement sécurisés

Que vous utilisiez des plug-ins WordPress ou des formulaires intégrés, quelques pratiques essentielles vous aident à réduire les risques de sécurité liés aux paiements.

Gardez vos plug-ins et intégrations à jour

Les plug-ins obsolètes comptent parmi les portes d’entrée les plus courantes pour les failles de sites web. De nouvelles failles de sécurité sont régulièrement détectées dans les logiciels, et les développeurs publient des correctifs pour y remédier. Si ces mises à jour ne sont pas appliquées rapidement, des pirates peuvent exploiter des failles déjà connues.

Pour limiter ce risque :

• Activez les mises à jour automatiques dès que possible pour vos plug-ins et thèmes WordPress.
• Vérifiez régulièrement la disponibilité de mises à jour pour vos générateurs de formulaires, vos intégrations de paiement et vos plug-ins de sécurité.
• Suivez les alertes de sécurité publiées par les développeurs de plug-ins et les services de sécurité WordPress.
• Supprimez les plug-ins inutilisés qui ne sont plus maintenus.

En maintenant vos logiciels à jour, vous vous assurez que votre site profite des derniers correctifs et améliorations de sécurité.

Optez pour des prestataires de paiement fiables

Le traitement des paiements est un système complexe qui exige de solides mécanismes de prévention de la fraude et de validation des transactions. Les prestataires de paiement de confiance investissent massivement dans une infrastructure conçue pour empêcher la manipulation des paiements et protéger les données sensibles. Des acteurs reconnus comme Stripe, PayPal, Square ou Authorize.net mettent en place des protections telles que :

• la tokenisation, qui remplace les données bancaires sensibles par des jetons sécurisés ;
• des systèmes de détection de fraude qui surveillent les transactions suspectes ;
• des normes de chiffrement robustes pour les données de paiement ;
• la conformité aux normes de sécurité PCI DSS.

En passant par des prestataires de paiement bien établis, vous vous assurez que les transactions sont validées correctement et que les informations de paiement de vos clients sont traitées en toute sécurité.

Évitez autant que possible la logique de paiement sur mesure

Créer ses propres processus de paiement peut sembler offrir plus de souplesse, mais cela peut aussi introduire de sérieux risques de sécurité si la mise en œuvre laisse à désirer. La vérification des paiements suppose de contrôler minutieusement les identifiants de transaction, les montants, les sessions utilisateur et les statuts de paiement.

Sans un minimum de tests et d’expertise en sécurité, une logique sur mesure risque de ne pas vérifier des conditions pourtant essentielles, comme :

• le fait que le paiement correspond bien à la transaction en cours ;
• le fait que le montant prélevé correspond au montant attendu ;
• le fait que le jeton de paiement n’a pas déjà été utilisé.

Dans la mesure du possible, appuyez-vous sur les intégrations officielles proposées par les plateformes de formulaires et les prestataires de paiement, plutôt que de développer vos propres systèmes de validation.

Surveillez régulièrement vos transactions

Même avec des mesures de sécurité solides, il reste important de surveiller votre activité de paiement pour repérer tout comportement inhabituel.

Un examen régulier de vos transactions vous aide à détecter d’éventuels problèmes, par exemple :

• des tentatives de paiement répétées portant sur des montants inhabituels ;
• plusieurs transactions provenant du même compte sur un court laps de temps ;
• des remboursements ou des rétrofacturations inattendus ;
• des soumissions de formulaires suspectes liées à des paiements.

De nombreux prestataires de paiement proposent des tableaux de bord qui vous permettent de suivre votre activité, d’analyser les tendances des transactions et de signaler les comportements suspects.

La mise en place d’alertes et de notifications automatiques vous aide également à réagir vite en cas d’activité anormale.

Misez sur un hébergement sécurisé et le protocole HTTPS

Le chiffrement joue un rôle déterminant dans la protection des formulaires de paiement et des données des utilisateurs.

Toutes les pages qui recueillent des informations sensibles doivent fonctionner en HTTPS, un protocole qui chiffre les échanges entre le navigateur de l’utilisateur et le serveur du site. Les pirates ne peuvent ainsi pas intercepter les données de paiement pendant leur transmission.

Pour renforcer la sécurité de votre site :

• Installez un certificat SSL valide et maintenez-le à jour.
• Faites en sorte que tous vos formulaires de paiement soient uniquement accessibles via des connexions HTTPS.
• Évitez de charger des scripts ou des contenus externes susceptibles d’introduire des failles.
• Choisissez des hébergeurs fiables qui offrent des fonctionnalités de sécurité comme les pare-feu, l’analyse des logiciels malveillants et la surveillance des serveurs.

Une infrastructure d’hébergement sécurisée, associée à des connexions chiffrées, contribue à protéger les données de vos clients comme vos jetons de paiement contre tout accès non autorisé.

Protéger l’infrastructure de paiement de votre site

Les formulaires de paiement sont des outils indispensables aux sites web modernes, mais ils demandent aussi une conception soignée côté sécurité.

La récente faille de vérification des paiements découverte dans un plug-in de formulaires WordPress rappelle à quel point une validation rigoureuse est essentielle dès lors qu’on gère des transactions en ligne.

En faisant appel à des prestataires de paiement sécurisés, en gardant leurs intégrations à jour et en choisissant des plateformes de formulaires fiables, les entreprises réduisent nettement le risque de manipulation des paiements.

Des outils comme Jotform facilitent la création de formulaires de paiement sécurisés, leur connexion à des prestataires de confiance et leur intégration dans des sites WordPress, le tout avec une configuration minimale.

Pour les organisations qui collectent des paiements en ligne, investir dans une infrastructure de formulaires sécurisée dépasse la simple décision technique : c’est un moyen essentiel de protéger à la fois leurs revenus et la confiance de leurs utilisateurs.