Un dirigeant décroche son téléphone un lundi matin. Son site est hors service depuis la veille au soir, la base clients a été chiffrée, et une adresse en .onion réclame l'équivalent de 18 000 euros en cryptomonnaie. Il est assuré. Il a payé sa prime pendant trois ans sans jamais rien demander. Six semaines plus tard, l'indemnisation est réduite de 60 %.
Le motif tient en une ligne dans le rapport d'expertise : la case « sauvegardes externalisées et testées » avait été cochée « oui » au questionnaire de souscription. Elle ne l'était pas. Personne n'avait menti, d'ailleurs. Le dirigeant avait simplement demandé à son agence web « on a bien des sauvegardes ? », et l'agence avait répondu « oui bien sûr, l'hébergeur en fait tous les jours ». Deux phrases, une signature, et un contrat qui ne vaut plus grand-chose.
Voilà le vrai sujet. Le refus ou la réduction d'indemnisation ne se décide pas au moment du sinistre. Il se décide des mois plus tôt, sur un formulaire de quatre pages que le dirigeant remplit à la va-vite, et dont les trois quarts des questions portent sur des sujets qu'il ne maîtrise pas. Son prestataire digital, lui, les maîtrise. Mais personne ne lui a jamais dit qu'il produisait, sans le savoir, les preuves qui conditionnent la couverture de son client.
Pourquoi la question se pose maintenant : le marché cyber s'est durci
De la couverture large au contrôle a priori
Il y a cinq ou six ans, souscrire une cyberassurance ressemblait à souscrire une multirisque professionnelle. On déclarait, on signait, on payait. Les assureurs découvraient le marché, cherchaient du volume, et acceptaient à peu près tout le monde.
Puis la sinistralité a explosé. Rançongiciels industrialisés, chaînes d'approvisionnement compromises, fuites de données à grande échelle. Les ratios sinistres sur primes sont devenus intenables sur certains portefeuilles, et le marché a fait ce que tout marché d'assurance fait dans ce cas : il s'est resserré. Primes en hausse, franchises relevées, exclusions élargies, et surtout un changement de méthode.
Le déclaratif a laissé place au vérifiable. L'assureur ne se contente plus de vous croire. Il demande des éléments, il recoupe, et il garde tout dans le dossier pour le jour où quelque chose se produira.
Les TPE et PME ne sont plus hors radar
Longtemps, on a considéré que la cyberassurance concernait les grands comptes. Les seuils d'accès ont fondu. Aujourd'hui, une entreprise de douze salariés avec un site e-commerce peut souscrire sans difficulté, avec un questionnaire simplifié et une prime de quelques centaines d'euros par an.
Attention au contresens. Un questionnaire simplifié n'est pas un questionnaire indulgent : c'est un questionnaire plus court, dont chaque question compte davantage. Et sur un petit contrat, il n'y a aucune marge de négociation au moment du sinistre. Pas de courtier grand compte qui décroche son téléphone, pas d'arrangement à l'amiable. On applique les conditions générales, point.
Ce que change la loi du 24 janvier 2023
La LOPMI a introduit un article qui mérite d'être lu deux fois. L'indemnisation des cyberrançons par un assureur est désormais conditionnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'infraction.
Soixante-douze heures. Dans une entreprise en pleine crise, où le dirigeant essaie de comprendre ce qui se passe, où le prestataire tente de restaurer quelque chose, où les clients appellent, ces trois jours passent très vite. Et une plainte suppose de savoir quoi déclarer : quand, comment, sur quel périmètre, quelles données.
Autrement dit, la capacité à documenter un incident en temps réel n'est plus une bonne pratique de sécurité. C'est devenu une condition d'indemnisation. Sans logs, sans horodatage, sans traçabilité, on dépose une plainte vide, et une plainte vide n'ouvre pas grand-chose.
Le questionnaire de souscription : le document que personne ne lit assez sérieusement
Sa valeur juridique réelle
Ce formulaire n'est pas une formalité administrative. C'est la base sur laquelle l'assureur a accepté le risque et calculé la prime. Le Code des assurances est très clair sur ce point, et il l'est depuis longtemps.
L'article L.113-8 prévoit la nullité pure et simple du contrat en cas de fausse déclaration intentionnelle. Nullité : le contrat est réputé n'avoir jamais existé, les primes restent acquises à l'assureur, et l'indemnité est nulle. L'article L.113-9, lui, traite de la fausse déclaration non intentionnelle, celle faite de bonne foi, et prévoit une réduction proportionnelle de l'indemnité au rapport entre la prime payée et la prime qui aurait été due.
Ce second cas est de loin le plus fréquent. Le dirigeant n'a pas menti. Il a coché « oui » parce que son prestataire lui a dit que c'était fait, ou parce qu'il a supposé que ça allait de soi. Le résultat financier, lui, reste très concret.
Qui remplit quoi, en pratique
Prenez n'importe quel questionnaire cyber sur le marché. Comptez les questions. Sur une trentaine, il y en aura sept ou huit d'ordre organisationnel (effectifs, chiffre d'affaires, secteur, historique de sinistres) et une vingtaine d'ordre technique.
Fréquence des sauvegardes. Externalisation. Délai d'application des correctifs de sécurité. Authentification multifacteur sur les comptes à privilèges. Durée de conservation des journaux. Cloisonnement des environnements. Chiffrement des données au repos.
Qui, dans une PME de vingt personnes, sait répondre à ça de tête ? Le dirigeant signe, engage sa société, et s'appuie sur des réponses qu'il n'a pas les moyens de vérifier. C'est tout le problème du triangle assureur, assuré, prestataire : les trois sommets existent, mais un seul côté est réellement contractualisé.
La chaîne de responsabilité, telle qu'elle existe vraiment
L'assuré déclare. Le prestataire exécute, ou croit exécuter, ou exécute autre chose. L'assureur enregistre. Et personne, à aucun moment, ne vient vérifier que ce qui a été déclaré correspond à ce qui existe.
Le maillon manquant est là. Il n'existe aucun mécanisme spontané qui relie la déclaration du dirigeant à la réalité technique de son site. Ce contrôle n'arrive qu'une seule fois : après le sinistre, quand l'expert ouvre le dossier.
Les huit exigences techniques que l'assureur vérifie sur votre site
1. Les sauvegardes : fréquence, externalisation, restauration testée
C'est le critère numéro un, sur absolument tous les questionnaires du marché. Et c'est aussi celui qui génère le plus de malentendus.
Trois choses différentes se cachent derrière le mot « sauvegarde ». La sauvegarde de l'hébergeur, d'abord, celle qui figure dans votre offre mutualisée à 8 euros par mois. Elle existe, souvent sur sept jours glissants, parfois moins. Elle est conçue pour couvrir une panne matérielle de l'hébergeur, pas votre sinistre à vous. Un rançongiciel qui reste dormant trois semaines avant de se déclencher aura contaminé toutes les copies disponibles.
La sauvegarde applicative ensuite, celle que produit une extension ou un script, qui embarque fichiers et base de données. Mieux, à condition qu'elle parte ailleurs que sur le serveur qu'elle est censée protéger. Ce qui, dans les faits, n'est pas toujours le cas.
Et la sauvegarde hors ligne ou immuable, enfin. Celle qu'un attaquant qui a pris la main sur votre infrastructure ne peut ni chiffrer ni supprimer. C'est celle-là que les assureurs regardent en priorité depuis trois ans.
Mais le point le plus important est ailleurs. Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde : c'est une hypothèse. Une archive corrompue, une base incomplète, un dump sans les médias, un fichier de 2 Ko qui contient un message d'erreur. Ces situations sont d'une banalité affligeante, et on ne les découvre jamais au bon moment.
Ce que l'assureur veut voir : une date. La date du dernier test de restauration effectif, avec le résultat, et de préférence le ticket qui va avec.
2. Les mises à jour : CMS, extensions, thèmes, dépendances
Le délai de patching est devenu un critère chiffré dans les questionnaires. On vous demande sous combien de jours vous appliquez un correctif de sécurité critique. Sept jours ? Trente ? Quand vous y pensez ?
Derrière la question se cache une réalité bien plus large que le simple bouton « mettre à jour » du back-office. Il y a les extensions abandonnées par leur auteur, qui n'ont plus reçu de correctif depuis quatre ans et que personne n'ose désinstaller parce qu'on ne sait plus exactement ce qu'elles font. Il y a les versions de PHP en fin de support, maintenues parce qu'un module refuse de fonctionner autrement. Il y a les thèmes achetés puis modifiés directement dans le code, donc impossibles à mettre à jour sans tout casser. Et il y a, plus souvent qu'on ne l'admet, les thèmes premium récupérés gratuitement sur des sites douteux, qui embarquent parfois de jolies surprises.
Le cas type ? Le site vitrine « qui tourne très bien » depuis quatre ans. Il tourne, oui. Il affiche les bonnes pages, le formulaire fonctionne, le client est content. Et il est exposé sur une quinzaine de vulnérabilités publiquement documentées, dont certaines exploitables par des scripts automatisés qui balaient le web en permanence sans cibler personne en particulier.
3. L'authentification forte sur les accès d'administration
Le MFA n'est plus une option dans les questionnaires récents. Il est demandé sur le back-office du site, mais aussi sur la console d'hébergement, sur les accès FTP ou SFTP, sur le registrar du nom de domaine et sur la gestion DNS.
Ce dernier point est régulièrement oublié, et il est pourtant redoutable. Un attaquant qui prend la main sur votre DNS n'a pas besoin de toucher à votre site : il redirige simplement vos visiteurs, et vos e-mails, ailleurs.
Vient ensuite la question qui met tout le monde mal à l'aise. Les accès partagés. Le compte « admin » dont trois personnes connaissent le mot de passe. Le compte du freelance qui est intervenu il y a deux ans sur une refonte et qui n'a jamais été révoqué. Le compte de l'agence précédente, celle avec qui ça s'est mal terminé.
4. La gestion des accès et le principe du moindre privilège
Question simple à poser aujourd'hui : combien de comptes administrateur existent sur votre site ? Non pas combien vous en avez créé, mais combien il en existe réellement, là, maintenant.
L'expérience montre que la réponse est presque toujours plus élevée que ce que le dirigeant imagine. Anciens salariés partis avec leur compte actif. Stagiaires. Agences successives, qui ont chacune laissé un ou deux accès. Développeur freelance qui a créé un compte technique pour un débogage ponctuel en 2021.
Tout audit sérieux exhume ce cimetière. Et chaque compte dormant est une porte d'entrée dont plus personne ne surveille l'usage. Le principe du moindre privilège, derrière son nom austère, dit une chose banale : chacun doit avoir exactement les droits nécessaires à son travail, ni plus, et pour la durée de sa mission uniquement.
5. Le chiffrement et la sécurisation des flux
HTTPS partout, sur toutes les pages, sans contenu mixte. Certificats renouvelés automatiquement, parce qu'un certificat expiré un dimanche matin ne se renouvelle pas tout seul si personne n'a mis en place le mécanisme.
Au-delà, l'assureur s'intéresse au chiffrement des données sensibles en base. Un site e-commerce qui stocke des adresses, des numéros de téléphone, un historique d'achats et parfois des données de santé ou financières ne peut pas se contenter d'un HTTPS de façade. Et les flux internes, entre le site et un CRM, un ERP, un outil de facturation, circulent-ils chiffrés ou en clair ?
6. La journalisation et la traçabilité
Voici le point le plus négligé, et de très loin le plus déterminant au moment du sinistre.
Sans journaux conservés, on ne peut établir aucune des trois choses que l'expert cherchera à savoir : quand l'intrusion a eu lieu, jusqu'où l'attaquant est allé, et quelles données ont été consultées ou exfiltrées.
Les conséquences en cascade sont brutales. Sans date d'intrusion, impossible de déterminer si le sinistre est survenu pendant la période de garantie. Sans périmètre, impossible de chiffrer le préjudice. Et sans savoir quelles données personnelles sont concernées, impossible de faire une notification correcte à la CNIL dans les 72 heures, ce qui expose à une seconde sanction indépendante de la première.
Un dossier sans preuve d'exfiltration est un dossier où l'on doit soit tout supposer, soit ne rien indemniser. Devinez ce qui se produit en pratique.
La durée de conservation attendue tourne généralement autour de six mois à un an sur les accès et les événements d'administration. Sachant que le délai moyen entre une compromission et sa détection se compte encore en semaines, des logs sur sept jours ne servent quasiment à rien.
7. La surveillance, la détection et le filtrage
On entre ici dans une posture active. Un pare-feu applicatif devant le site, qui filtre les requêtes malveillantes avant qu'elles n'atteignent le CMS. Un monitoring de disponibilité, qui alerte en cas d'indisponibilité plutôt que de laisser un client vous l'apprendre le lendemain. Une détection de modification de fichiers, qui signale l'apparition d'un fichier PHP inconnu dans un répertoire d'uploads.
Ce dernier mécanisme est peu coûteux et remarquablement efficace. Il ne repose sur aucune signature, aucune base de menaces à jour : il constate simplement qu'un fichier qui n'a rien à faire là vient d'apparaître.
8. La séparation des environnements et la maîtrise de l'hébergement
Mutualisé ou dédié ? Sur un mutualisé, combien de sites cohabitent sur le même compte, et sont-ils réellement cloisonnés ? La question n'est pas théorique : la compromission d'un site oublié sur le même compte permet très souvent de rebondir sur les autres.
Où sont hébergées les données ? Quels sont les sous-traitants de votre hébergeur, et où sont-ils ? Ces questions apparaissent aussi bien dans les questionnaires cyber que dans les analyses RGPD, et les deux sujets se recouvrent largement.
Les exigences juridiques et organisationnelles, tout aussi contrôlées
La conformité RGPD comme préalable implicite
Peu de questionnaires posent frontalement la question « êtes-vous conforme au RGPD ». Mais tous demandent si vous tenez un registre des traitements, quelles durées de conservation vous appliquez, et comment vous gérez le consentement.
L'enjeu est le suivant. En cas de sinistre impliquant des données personnelles, un assureur qui constate une non-conformité manifeste dispose d'un argument solide. Soit pour invoquer une aggravation du risque non déclarée, soit pour contester tout ou partie du préjudice au motif que certaines données n'auraient de toute façon pas dû se trouver là.
Une base clients qui conserve tout depuis 2014, sans purge, transforme un incident modéré en fuite massive.
Le contrat de sous-traitance de l'article 28
Neuf relations client-agence sur dix l'ignorent complètement.
Dès qu'un prestataire traite des données personnelles pour votre compte, et c'est le cas de toute agence qui a accès à votre base clients ou à vos formulaires, l'article 28 du RGPD impose un contrat écrit encadrant ce traitement. Périmètre, durée, mesures de sécurité, sort des données en fin de contrat, obligation d'assistance en cas d'incident.
Sans ce document, la responsabilité remonte intégralement au responsable de traitement, c'est-à-dire à vous. Le prestataire, lui, n'est engagé sur rien de particulier. Et le jour où vous voudrez vous retourner contre lui, vous constaterez qu'aucune obligation précise ne lui avait été contractuellement imposée.
Le plan de continuité et de reprise d'activité
Deux acronymes reviennent systématiquement : RTO et RPO. Le premier désigne le temps maximal d'interruption acceptable. Le second, la quantité maximale de données que vous acceptez de perdre, mesurée en temps.
Traduisons. Si vos sauvegardes sont quotidiennes à 3 heures du matin et qu'un incident survient à 20 heures, vous perdez dix-sept heures d'activité. Sur un e-commerce en période de soldes, cela représente combien de commandes ? Personne ne se pose la question avant, tout le monde se la pose après.
L'assureur veut savoir deux choses très concrètes. Combien de temps votre activité tient sans votre site. Et qui décroche à 3 heures du matin un samedi.
La sensibilisation des équipes
La très grande majorité des compromissions passe encore par un humain. Un mail de phishing bien tourné, un mot de passe réutilisé sur un service tiers lui-même compromis, une pièce jointe ouverte trop vite.
Ce que l'assureur attend n'est pas une déclaration d'intention. Ce sont des traces : dates de sessions de sensibilisation, liste des participants, éventuellement résultats d'une campagne de phishing simulé. Une phrase dans le règlement intérieur ne pèse rien.
La notion clé : produire les preuves, pas avoir fait
Déclaratif contre documenté
Toute la différence tient dans l'écart entre deux phrases.
« Nous effectuons des sauvegardes régulières. »
Et : « Voici le rapport de sauvegarde automatique du 14 mars, le compte rendu du test de restauration effectué le 2 avril sur environnement isolé, et le ticket numéro 4471 qui l'accompagne. »
La première phrase ne vaut rien devant un expert. La seconde clôt le débat en trente secondes.
Une preuve utile réunit quatre caractéristiques. Elle est horodatée. Elle est tracée, c'est-à-dire rattachable à un système ou à une personne identifiable. Elle est produite automatiquement par un dispositif, ou par un tiers, plutôt que rédigée à la main. Et elle existait avant l'incident.
Le moment de vérité : l'expertise après sinistre
Le déroulé est assez standardisé. L'expert mandaté par l'assureur demande d'abord une chronologie : quand l'anomalie a-t-elle été détectée, par qui, quelles actions ont été menées et dans quel ordre. Il réclame ensuite les journaux, sur une fenêtre large, souvent bien antérieure à la détection.
Il vérifie la cohérence entre ce qui avait été déclaré au questionnaire et ce qu'il constate. Il demande les preuves d'exploitation courante : dernière mise à jour appliquée, dernier test de restauration, liste des comptes à privilèges. Puis il évalue le préjudice à partir de ce qui est démontrable, et uniquement à partir de cela.
Quand les pièces n'existent pas, il ne conclut pas à la mauvaise foi. Il conclut à l'impossibilité d'établir, et il l'écrit. Ce qui, du point de vue de l'indemnisation, revient au même.
Le piège de la preuve reconstituée
La tentation est humaine, et elle se termine mal. Un rapport de sauvegarde rédigé sous Word trois jours après l'incident, un tableau de suivi des mises à jour rempli rétroactivement, une procédure formalisée dans l'urgence.
Ces documents n'ont aucun poids face à un journal généré automatiquement. Pire, s'ils présentent des incohérences de dates ou de métadonnées, ils déplacent le dossier du terrain de la négligence vers celui de la fausse déclaration intentionnelle. On passe de la réduction d'indemnité à la nullité du contrat.
La bonne foi ne suffit pas toujours. Il faut qu'elle soit démontrable, et elle se démontre avec des éléments antérieurs, pas postérieurs.
Qui produit ces preuves ? La zone grise qui coûte cher
Cartographie honnête des acteurs
Autour d'un site professionnel, on trouve généralement : un hébergeur, une agence web ou un développeur freelance, parfois un prestataire de maintenance distinct, parfois une DSI externalisée, un expert-comptable qui a un avis sur les contrats, et un courtier ou un agent d'assurance.
Chacun a une vision partielle, et surtout, chacun suppose que quelqu'un d'autre s'occupe du reste.
L'hébergeur assure la disponibilité de l'infrastructure, et ses conditions générales limitent sa responsabilité au contenu de son offre. Il ne sauvegarde pas votre site pour vous, il sauvegarde ses serveurs pour lui. L'agence web a construit le site, et considère souvent sa mission achevée à la livraison. Le prestataire de maintenance applique les mises à jour, surveille la disponibilité, et s'arrête généralement là.
Le trou dans la raquette du contrat de maintenance classique
Prenez un forfait de maintenance standard, entre 60 et 250 euros par mois selon les prestataires. Que couvre-t-il ?
Les mises à jour du CMS et des extensions. Une surveillance de disponibilité. Une sauvegarde, souvent. Un volume d'heures d'intervention. C'est déjà utile, et c'est mieux que rien.
Ce qu'il ne couvre jamais, en revanche : la production d'une attestation exploitable par un assureur, la journalisation centralisée et conservée sur une durée pertinente, le test de restauration documenté, la revue périodique des comptes à privilèges, et la réponse à un questionnaire de souscription.
Ce n'est pas un reproche adressé aux prestataires. C'est un décalage entre ce qui a été vendu et ce dont le client a besoin, et il vient du fait que personne, au moment de signer le contrat de maintenance, n'avait la cyberassurance en tête.
Le rôle du courtier, sous-exploité
Un courtier qui dispose d'un dossier technique solide travaille dans de bien meilleures conditions. Il peut argumenter, comparer, mettre plusieurs assureurs en concurrence sur un profil de risque documenté plutôt que sur un formulaire vague.
Ce qu'il obtient, dans les faits : une franchise revue à la baisse, le retrait d'exclusions génériques appliquées par défaut aux dossiers mal renseignés, un ajustement de prime, parfois l'accès à des garanties refusées d'emblée sur un dossier flou.
Il faut lui donner de la matière. Un dirigeant qui arrive avec un inventaire de ses actifs numériques et des preuves d'exploitation n'est pas dans la même position que celui qui arrive les mains vides.
La question directe à poser à votre prestataire
Une seule phrase, à envoyer par mail cette semaine.
« Si mon assureur me demande demain la preuve que mes sauvegardes sont externalisées et qu'une restauration a été testée, tu me la fournis en combien de temps et sous quelle forme ? »
La réponse vaut audit. Si elle arrive dans la journée avec un document daté, tout va bien. Si elle prend trois semaines et arrive sous forme d'un mail rassurant sans pièce jointe, vous savez ce qui vous attend le jour du sinistre.
Le dossier de preuves cyber : ce qu'il contient concrètement
Le socle documentaire minimal
Un inventaire des actifs numériques, d'abord. Tous les noms de domaine, y compris ceux réservés puis oubliés. Tous les sites, y compris les sous-domaines de préproduction. Tous les comptes de service, tous les accès, avec leur titulaire et leur date de création.
Une cartographie des flux et des données ensuite. Quelles données entrent, par quels formulaires, où elles sont stockées, vers quels outils tiers elles partent, combien de temps elles restent.
Et une liste des prestataires avec leur périmètre exact. Qui a accès à quoi, pour faire quoi, jusqu'à quand.
Les preuves d'exploitation courante
Journal des mises à jour, avec dates et versions. Rapports de sauvegarde automatiques, conservés. Comptes rendus des tests de restauration, avec le résultat, y compris quand il est mauvais. Relevés de monitoring. Journal des connexions administrateur. Et l'historique des incidents mineurs, souvent négligé.
Ce dernier point mérite qu'on s'y arrête. Une tentative d'intrusion bloquée, un pic de requêtes suspect, une extension retirée en urgence : ces événements documentés démontrent qu'un dispositif de surveillance existe et fonctionne. C'est exactement ce que l'assureur cherche à établir.
Les preuves contractuelles
Les contrats de sous-traitance article 28 signés avec chaque prestataire ayant accès aux données. Les engagements de niveau de service. Les conditions d'hébergement, avec la localisation des données. Les attestations de conformité ou certifications des sous-traitants, quand elles existent.
La forme attendue
Horodatage systématique. Format exportable et lisible sans outil propriétaire. Conservation sur une durée cohérente avec les questionnaires, soit douze mois au minimum sur les éléments critiques.
Et un détail qui n'en est pas un : le dossier ne doit pas résider uniquement sur le serveur qu'il documente. Le jour où ce serveur est chiffré ou saisi, vous perdez à la fois votre site et vos preuves. Une copie ailleurs, accessible en situation de crise, depuis un poste qui n'est pas celui compromis. Cela paraît évident écrit noir sur blanc, mais c'est l'une des erreurs les plus fréquentes.
Trois situations types rencontrées sur le terrain
Le site vitrine WordPress à 3 000 euros, sans maintenance
Ce que le dirigeant déclare : site à jour, sauvegardes en place, accès sécurisés.
Ce qui existe réellement : un WordPress livré il y a trois ans, quatorze extensions dont deux abandonnées, aucune mise à jour depuis dix-huit mois, la sauvegarde de l'hébergeur sur sept jours, un compte administrateur unique partagé entre le dirigeant et l'agence, et aucune journalisation au-delà des logs Apache écrasés en boucle.
Au sinistre : impossible d'établir la date d'intrusion. Sauvegardes probablement contaminées. Réponses au questionnaire contredites sur trois points. Réduction d'indemnité significative, quand l'indemnité n'est pas purement et simplement refusée.
Le paradoxe est cruel. Le préjudice direct sur un site vitrine est modeste. Mais un site vitrine compromis sert souvent de tremplin vers la messagerie professionnelle, et c'est là que ça devient sérieux.
L'e-commerce avec base clients et paiements
Changement d'échelle immédiat. Données bancaires, même si elles transitent par un prestataire de paiement. Volumétrie de données personnelles. Contraintes PCI-DSS si le site touche aux données de carte. Obligation de notification à la CNIL sous 72 heures en cas de violation, et information individuelle des personnes concernées si le risque est élevé.
Ici, le questionnaire est nettement plus détaillé, et l'assureur demande parfois des éléments avant de coter le risque. Le préjudice ne se limite plus à l'indisponibilité : il inclut les frais de notification, l'accompagnement juridique, la gestion de crise, et le préjudice de réputation.
Le site avec espace client ou API métier
Surface d'attaque considérablement élargie. Authentification à protéger, gestion de session, exposition d'endpoints d'API, dépendances tierces qui deviennent autant de portes potentielles.
Ce que l'assureur regarde en priorité sur ce profil : la robustesse de l'authentification, l'existence de limitations de débit sur les API, la gestion des secrets et des clés, et la capacité à révoquer un accès rapidement. Un espace client mal protégé permet souvent de consulter les données d'autres clients en modifiant simplement un identifiant dans l'URL. Ce type de faille, élémentaire, reste étonnamment courant.
Méthode : mettre son site en conformité assurantielle en 90 jours
Jours 1 à 15, l'état des lieux
Première action, et elle change tout : récupérer le questionnaire de l'assureur avant de le remplir. Le demander à son courtier, ou reprendre celui du contrat en cours.
Le transmettre ensuite intégralement au prestataire, avec une consigne simple : indiquer pour chaque question s'il peut fournir une preuve, sous quelle forme, et en combien de temps.
Les questions sans réponse documentable constituent votre liste de travail. Elle est généralement plus longue que prévu, et c'est très bien : autant le découvrir maintenant.
Jours 15 à 45, combler les écarts techniques
Prioriser par ratio risque sur effort, pas par ordre d'apparition dans le questionnaire.
En tête de liste, presque toujours : activer le MFA sur tous les accès à privilèges (quelques heures de travail, effet majeur), mettre en place une sauvegarde externalisée réellement séparée, appliquer le retard de mises à jour accumulé sur un environnement de test avant la production, et révoquer tous les comptes dormants.
Ces quatre chantiers couvrent une part considérable des questions du questionnaire, et ils sont à la portée de n'importe quel prestataire compétent.
Jours 45 à 75, instaurer la production de preuves
Le principe directeur tient en un mot : automatiser. Une preuve produite manuellement finit par ne plus être produite, généralement au bout de six semaines, quand la personne qui s'en chargeait part en congés.
Rapports de sauvegarde envoyés automatiquement par mail et archivés. Journalisation centralisée hors du serveur. Tests de restauration planifiés dans un calendrier avec rappel. Relevé mensuel des comptes à privilèges généré automatiquement.
C'est l'étape la plus structurante, et celle qu'on saute le plus souvent, parce qu'elle ne produit aucun effet visible à court terme.
Jours 75 à 90, constituer et présenter le dossier
Rassembler l'ensemble dans un format cohérent, stocké hors du serveur concerné, accessible au dirigeant et pas seulement au prestataire.
Puis organiser une réunion à trois : dirigeant, prestataire, courtier. Une heure suffit. Chacun découvre généralement ce que font les deux autres, et c'est souvent la première fois que la conversation a lieu. C'est aussi le moment de mettre à jour le questionnaire auprès de l'assureur, avec les éléments désormais disponibles.
Ensuite, le rythme de maintien
Revue trimestrielle des accès et des mises à jour. Test de restauration au minimum semestriel, avec compte rendu. Actualisation du questionnaire à chaque renouvellement de contrat, et à chaque changement majeur du site.
Ce dernier point est une obligation, pas une bonne pratique. On y revient tout de suite.
Les erreurs qui font perdre la couverture
Cocher « oui » par principe
Parce que la case « non » fait mauvais effet, parce qu'on suppose que c'est fait, parce qu'on n'a pas le temps de vérifier. Un « non » assumé au questionnaire coûte au pire une prime légèrement supérieure ou une exclusion ciblée. Un « oui » infondé coûte l'indemnisation entière.
Confondre la sauvegarde de l'hébergeur et sa propre sauvegarde
L'erreur la plus répandue, et la plus lourde de conséquences. Relisez les conditions générales de votre hébergeur : dans l'immense majorité des cas, la sauvegarde y est présentée comme un service de courtoisie sans garantie de résultat.
Changer de prestataire sans transférer le dossier de preuves
Une migration d'agence, et l'historique disparaît. Journaux, rapports, comptes rendus de tests, tout reste dans les outils de l'ancien prestataire, avec qui les relations ne sont pas toujours excellentes. Ce transfert doit figurer dans le contrat, dès le départ.
Refondre le site sans en informer l'assureur
Une refonte modifie le risque. Nouveau CMS, nouvelles fonctionnalités, ajout d'un espace client ou d'un module de paiement. L'assuré a une obligation de déclaration des circonstances nouvelles aggravant le risque, et ne pas la respecter fragilise sérieusement la garantie.
Négliger les sous-domaines, les anciens sites et les préproductions oubliées
La vieille version du site laissée sur un sous-domaine « pendant la transition », en 2019. L'environnement de test accessible publiquement, sans mot de passe, avec une copie de la base de production. Le mini-site événementiel d'une campagne terminée depuis trois ans.
Ces objets ne sont jamais mis à jour, jamais surveillés, et souvent jamais mentionnés dans le questionnaire. Ils constituent pourtant des points d'entrée de premier choix, et un assureur qui découvre après coup un actif non déclaré a un argument sérieux.
Croire qu'un audit ponctuel remplace une production continue de preuves
Un audit de sécurité est une photographie. Il vaut pour le jour où il a été réalisé. Six mois plus tard, il ne démontre plus rien sur l'état actuel du site. Ce qui compte, c'est le flux continu de preuves, pas l'instantané.
Questions fréquentes
Une cyberassurance est-elle obligatoire ?
Non, aucune obligation légale générale. En revanche, elle devient de plus en plus fréquemment exigée contractuellement, notamment par les grands donneurs d'ordre et dans les marchés publics. Certains appels d'offres la réclament désormais au même titre que la responsabilité civile professionnelle.
Mon hébergeur est-il responsable en cas de piratage de mon site ?
Rarement, et rarement au niveau espéré. L'hébergeur est tenu à une obligation de moyens sur son infrastructure. Si la compromission provient d'une extension non mise à jour, d'un mot de passe faible ou d'une faille applicative, la responsabilité ne lui incombe pas. Ses conditions générales plafonnent en outre presque toujours l'indemnisation à quelques mois d'abonnement.
Que se passe-t-il si mon prestataire a commis une faute ?
Son assurance responsabilité civile professionnelle peut être mobilisée, à trois conditions : qu'une faute soit caractérisée, qu'une obligation précise ait été contractuellement définie, et qu'il soit effectivement assuré. C'est précisément pour cela que le périmètre d'un contrat de maintenance doit être écrit noir sur blanc. Sans obligation définie, il n'y a pas de manquement à démontrer.
Combien de temps faut-il conserver les journaux et les preuves ?
Six mois constituent un minimum raisonnable pour les logs d'accès et d'administration. Douze mois sont plus confortables et correspondent mieux aux attentes des assureurs. Pour les preuves d'exploitation (sauvegardes, mises à jour, tests), il faut couvrir au moins l'intégralité de la période de garantie en cours.
Mon assureur peut-il auditer mon site sans me prévenir ?
Il peut réaliser des vérifications externes non intrusives, et certains assureurs le font désormais de manière systématique : versions logicielles exposées publiquement, configuration des certificats, en-têtes de sécurité, présence dans les bases de fuites de données. Ces éléments sont accessibles depuis l'extérieur, sans intrusion. Une intrusion réelle, elle, nécessite votre autorisation écrite.
Faut-il déclarer une refonte ou un changement de CMS ?
Oui, sans hésitation. Toute modification substantielle du système d'information doit être signalée. Un mail au courtier suffit généralement, mais il faut qu'il existe et qu'il soit daté. C'est une formalité de dix minutes qui protège l'ensemble du contrat.
Un site vitrine sans formulaire est-il vraiment concerné ?
Plus qu'on ne le pense. Même sans collecte de données, un site vitrine compromis peut être défiguré, transformé en relais de spam, utilisé pour héberger des pages de phishing, ou servir de point d'appui vers la messagerie de l'entreprise. Le préjudice réputationnel existe, et le référencement met parfois des mois à s'en remettre. Sans compter le blacklistage du domaine, qui affecte alors tous les e-mails sortants.
Conclusion
Il faut renverser la perspective, et cesser de voir la conformité assurantielle comme une paperasserie de plus.
Un questionnaire cyber, lu attentivement, est l'un des meilleurs référentiels gratuits qui existent pour évaluer la robustesse réelle d'une présence en ligne. Il pose exactement les bonnes questions, dans le bon ordre, et il les pose sans complaisance, parce que celui qui les pose met de l'argent en face des réponses.
Un site capable de satisfaire un questionnaire cyber est un site qui résiste mieux aux attaques automatisées, qui se remet plus vite d'un incident, qui présente moins de risques pour ses utilisateurs et, accessoirement, qui vaut plus cher le jour où l'entreprise change de mains. Un acquéreur sérieux regarde ces éléments.
Le vrai sujet, au fond, n'est pas d'obtenir la signature d'un assureur. C'est de savoir, à froid, tranquillement, un mardi après-midi où rien ne brûle, ce qu'on est réellement capable de prouver. Parce que le jour où il faudra le prouver, il sera beaucoup trop tard pour commencer à chercher.
La bonne fenêtre pour faire ce point se situe deux à trois mois avant le prochain renouvellement de contrat. Le temps de commander un diagnostic du dispositif technique et documentaire du site, d'identifier les écarts, et de les combler avant que le questionnaire ne revienne sur le bureau. Après, il ne reste plus qu'à cocher des cases en espérant que personne ne vérifie.
