Faille sur un site d’entreprise : que faire dans les 24 premières heures

Vous recevez un e-mail de l’hébergeur, une alerte de CERT Polska (l’équipe nationale polonaise de réponse aux incidents informatiques) ou un message du prestataire : le logiciel de votre site contient une faille et il faut la corriger. Une faille est une erreur dans le code qui permet à un tiers de prendre le contrôle du site, d’y ajouter son propre code ou d’accéder aux données des clients. Quand l’information est publique, les criminels la connaissent aussi et cherchent les sites vulnérables à l’aide de robots. Remettre l’affaire à la semaine prochaine est donc risqué.

Voici un plan pour les premières 24 heures, dans un ordre qui protège des erreurs typiques : vérification, sauvegarde, correctif, mots de passe et traces, et à la fin évaluation d’une fuite de données et signalements. Vous ferez la plupart des étapes sans développeur, et pour le reste, j’indique ce qu’il faut confier à l’hébergeur ou au prestataire. J’écris selon la situation au 7 novembre 2026. Les passages sur le RGPD et la loi sur le KSC (ustawa o krajowym systemie cyberbezpieczeństwa, la loi polonaise sur le système national de cybersécurité) sont une information générale, et non un conseil juridique.

Les heures dans les titres sont indicatives. Si vous soupçonnez dès le départ que quelqu’un a accédé aux données des clients, lisez tout de suite la partie sur l’UODO (Urząd Ochrony Danych Osobowych, l’autorité polonaise de protection des données personnelles), car le délai de 72 heures court à partir du moment où la violation est constatée.

Heures 0–2 : vérifiez si la faille concerne votre site

Avant de modifier quoi que ce soit, établissez trois choses : quel logiciel est touché par la faille, dans quelles versions, et à partir de quelle version le correctif est disponible. Prenez ces informations dans l’annonce de l’éditeur (par ex. php.net, nodejs.org, la page de l’extension dans le répertoire WordPress.org) ou dans la base d’une société reconnue, pour les extensions par exemple Wordfence ou Patchstack. Les articles de presse simplifient souvent les numéros de version.

Comparez-les ensuite avec votre site :

• WordPress : dans le tableau de bord, allez dans Outils → Santé du site → Infos. Vous y trouverez la version de WordPress, de PHP, du thème et des extensions. Les versions des extensions sont aussi visibles dans la liste du menu Extensions.
• Hébergement mutualisé : la version de PHP est affichée dans le panneau de l’hébergeur, généralement dans les paramètres du domaine ou de PHP.
• Site développé sur mesure, par exemple avec Next.js ou Node.js : demandez au prestataire. Vous trouverez un message tout prêt plus bas.

Je décris comment déterminer sur quoi tourne le site, quand personne dans l’entreprise ne le sait, dans le guide sur la vérification des versions de PHP, du CMS et des extensions.

Vérifiez aussi si la faille est attaquée dans la pratique. L’agence américaine CISA tient le catalogue KEV, c’est-à-dire la liste des failles exploitées lors de véritables attaques. Si le numéro CVE de l’annonce y figure, accélérez toutes les étapes suivantes. En outre, sur le service moje.cert.pl, géré par CERT Polska, vous pouvez demander un scan gratuit de votre domaine. Cela ne remplace pas la vérification des versions, mais c’est souvent un bon deuxième regard.

Heure 2 : sauvegarde avant les modifications

Une mise à jour faite dans la précipitation peut mettre hors service une boutique ou un formulaire. C’est pourquoi, avant toute modification, faites une copie des fichiers et de la base de données et téléchargez-la hors du serveur. Une sauvegarde conservée uniquement dans le panneau de l’hébergeur peut disparaître en même temps que le site.

Nommez la sauvegarde avec la date et l’heure, par exemple AVANT-CORRECTIF-2026-11-07-10-00. Si vous soupçonnez que quelqu’un s’est déjà introduit sur le site, cette copie est aussi une preuve : ne la restaurez pas ensuite comme version « saine ». J’explique pourquoi une seule sauvegarde ne suffit pas et comment tester la restauration dans le guide sur la sauvegarde d’un site et la règle 3-2-1.

Heures 2–6 : mise à jour ou contournement

La voie la plus sûre est la mise à jour vers la version corrigée indiquée par l’éditeur. Dans WordPress, commencez par l’extension ou le thème touché par la faille, puis faites les autres mises à jour. Après chaque modification, vérifiez la page d’accueil, le formulaire de contact et, dans une boutique, tout le processus de commande.

Quand le correctif n’existe pas encore ou que vous ne pouvez pas l’installer tout de suite, appliquez un contournement, c’est-à-dire la protection provisoire décrite dans l’annonce de l’éditeur. Il peut s’agir de désactiver l’extension, de désactiver une fonction dans la configuration ou d’une règle de pare-feu applicatif (WAF) chez l’hébergeur. Le contournement donne du temps, mais ne clôt pas l’affaire : inscrivez donc tout de suite dans votre agenda la date de la mise à jour complète.

Les versions corrigées changent parfois : l’éditeur publie un nouveau correctif quand le premier s’est révélé incomplet. Avant la mise à jour, vérifiez de nouveau l’annonce sur le site de l’éditeur, et pas seulement dans une note vieille de deux jours.

Si le site tourne sur une ancienne version de PHP ou de Node.js qui ne reçoit plus de correctifs de sécurité, il se peut qu’aucun correctif n’existe pour elle. La mise à jour signifie alors le passage à une version plus récente. C’est un changement plus important, qu’il vaut mieux confier à une personne technique, mais ne le repoussez pas.

Heures 6–12 : comptes, mots de passe, journaux et nouveaux fichiers

La mise à jour ferme la porte, mais ne dit pas si quelqu’un est entré avant vous. Vérifiez donc les traces.

Les comptes administrateurs. Dans WordPress, ouvrez Comptes et choisissez le rôle Administrateur. Tout compte que personne dans l’entreprise ne reconnaît est un signal d’alarme : notez l’identifiant, l’e-mail et la date de création, et seulement ensuite supprimez-le. Passez aussi en revue les utilisateurs du panneau de l’hébergeur et de Google Search Console.

Les mots de passe. Changez les mots de passe de l’administration du site, de l’hébergement, du FTP/SFTP et de la base de données, ainsi que les clés d’API (par ex. pour les paiements ou l’envoi d’e-mails) si elles étaient enregistrées sur le serveur. Faites-le depuis un ordinateur dont vous êtes sûr, et activez la connexion en deux étapes partout où c’est possible.

Les journaux. Demandez à l’hébergeur les journaux d’accès et d’erreurs depuis le jour de la divulgation de la faille, avant qu’ils ne soient écrasés. Cherchez des requêtes répétées vers les adresses touchées par la faille et des connexions à l’administration depuis des adresses IP inconnues.

Les fichiers nouveaux et modifiés. Dans le gestionnaire de fichiers, triez les fichiers par date de modification. Sont suspects les changements que personne n’a faits ainsi que les fichiers PHP dans les répertoires d’images (dans WordPress, wp-content/uploads).

Si vous trouvez des traces d’intrusion, passez au plan du guide WordPress piraté : que faire dans la première heure. La plupart des étapes s’appliquent aussi aux sites qui fonctionnent avec d’autres logiciels.

Fuite de données : UODO, clients et CERT Polska

Cette partie concerne la situation où quelqu’un a pu accéder aux données des clients : commandes, comptes ou messages du formulaire. Une faille que personne n’a exploitée n’est pas encore une violation de données à caractère personnel.

L’UODO sous 72 heures (art. 33 du RGPD)

Conformément à l’art. 33 du RGPD, le responsable du traitement notifie la violation au président de l’UODO dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. La notification n’est pas nécessaire lorsqu’il est peu probable que la violation engendre un risque pour les droits et libertés des personnes. Une notification envoyée après 72 heures doit être accompagnée des motifs du retard.

Vous déposerez la notification en ligne via le formulaire sur biznes.gov.pl (portail administratif polonais pour les entreprises), avec une signature par profil zaufany (l’identité électronique publique polonaise) ou une signature électronique qualifiée. Quand le délai expire et que vous ne connaissez pas encore tous les détails, envoyez une notification préliminaire et complétez-la plus tard. Le modèle du formulaire se trouve sur le site de l’UODO, et pour les questions générales, la ligne d’information de l’autorité vous aide : 606 950 000, les jours ouvrés de 10 h à 14 h.

L’art. 33, paragraphe 5, du RGPD exige de documenter toute violation, y compris celle que vous ne notifiez pas à l’UODO : ce qui s’est passé, quelles en sont les conséquences et ce qui a été fait. Les notes tenues en suivant ce plan sont un bon point de départ. Faites évaluer le risque dans un cas concret par un juriste ou un délégué à la protection des données.

Information des clients (art. 34 du RGPD)

Lorsque la violation peut engendrer un risque élevé pour les clients, par exemple si les mots de passe de leurs comptes ont fuité, l’art. 34 du RGPD exige d’informer les personnes elles-mêmes, également dans les meilleurs délais. Écrivez dans un langage clair et simple : ce qui s’est passé, quelles peuvent être les conséquences, ce qui a déjà été fait et à qui écrire en cas de question. Adaptez le modèle ci-dessous aux faits et n’y inscrivez que ce que vous savez avec certitude :

Bonjour, le [date], nous avons détecté un accès non autorisé à notre site internet. Les nom, prénom, adresse e-mail et numéro de téléphone indiqués lors de la commande ont pu être divulgués. Nous avons corrigé la faille, changé les mots de passe et signalé l’affaire à l’UODO. Nous vous invitons à la prudence face aux messages qui font référence à votre commande et demandent un paiement complémentaire ou des identifiants de connexion : nous n’envoyons pas de telles demandes. Pour toute question, merci d’écrire à l’adresse [e-mail].

CERT Polska

Vous pouvez signaler l’incident à CERT Polska via le formulaire incydent.cert.pl. L’équipe fait partie du NASK (institut national de recherche polonais) et traite aussi les signalements d’entreprises qui ne relèvent pas de la loi sur le KSC. Cela ne remplace pas la notification à l’UODO : ce sont deux institutions différentes, avec deux objectifs différents.

NIS2 et la loi sur le KSC

Si votre entreprise est une entité essentielle ou importante au sens de la loi sur le système national de cybersécurité modifiée en 2026 (Dz.U. 2026 poz. 252), elle est soumise à des délais distincts de notification des incidents importants au CSIRT compétent, notamment une alerte précoce au plus tard dans les 24 heures suivant la détection. La plupart des petites entreprises ne relèvent pas de cette loi. J’explique comment le vérifier dans le guide Qui est concerné par NIS2 ?

Ce qu’il faut confier à l’hébergeur et au prestataire

L’hébergeur et le prestataire ont souvent ce que vous n’avez pas : les journaux du serveur, l’accès technique et les sauvegardes des derniers jours. Qui est responsable de quoi dépend du type d’hébergement et du contrat, comme je l’explique dans le guide consacré à la question de savoir qui est responsable de la mise à jour du site. Durant les premières 24 heures, demandez des choses précises, de préférence par e-mail, pour qu’il en reste une trace :

Bonjour, en lien avec la faille [nom et numéro CVE], je vous demande : 1) de m’indiquer si le site [adresse] utilise une version vulnérable et quand il sera mis à jour ; 2) une copie des fichiers et de la base d’avant la mise à jour ; 3) les journaux d’accès et d’erreurs depuis le [date de divulgation de la faille] ; 4) de m’indiquer si des traces d’exploitation de la faille sont visibles. Merci de me répondre aujourd’hui avant [heure].

Si l’hébergeur ou le prestataire traite les données de vos clients pour votre compte, l’art. 33, paragraphe 2, du RGPD l’oblige à vous informer de la violation dans les meilleurs délais. La décision de notifier l’UODO vous appartient toutefois en tant que responsable du traitement : n’attendez donc pas passivement leur évaluation.

Liste de contrôle des 24 heures à imprimer

Imprimez-la et conservez-la avec les accès à l’hébergement. Pour chaque point, notez l’heure et la personne qui l’a effectué.

1. J’ai l’annonce de l’éditeur : nom du logiciel, versions vulnérables, version corrigée, numéro CVE.
2. Je sais quelle version utilise mon site et si la faille figure dans le catalogue KEV.
3. La copie des fichiers et de la base est téléchargée hors du serveur et datée.
4. Le correctif est installé ou le contournement activé, et la date de la mise à jour complète figure dans l’agenda.
5. Le site, le formulaire et les commandes fonctionnent après les modifications.
6. Liste des administrateurs vérifiée, comptes inconnus notés et supprimés.
7. Mots de passe et clés d’API changés, connexion en deux étapes activée.
8. Journaux et nouveaux fichiers examinés ou confiés à l’hébergeur.
9. Évaluation : des données personnelles ont-elles pu fuiter ? Si oui : notification à l’UODO sous 72 heures et décision concernant l’information des clients.
10. Note sur le déroulement de l’incident rédigée.
11. Décision concernant le signalement à CERT Polska.

En résumé

L’ordre compte : établissez d’abord si la faille vous concerne, puis sauvegarde, correctif, mots de passe et traces, et à la fin évaluation de la fuite et signalements. Notez tout au fur et à mesure, car ces notes serviront à la fois à l’autorité et au prestataire.

Si vous préférez que quelqu’un surveille cela à votre place, choisissez la maintenance technique. Dans le forfait Veille (à partir de 149 PLN HT par mois), je surveille le site toutes les 5 minutes, je fais chaque semaine une sauvegarde hors du serveur et j’installe les mises à jour de sécurité urgentes sous 2 jours. Standard (à partir de 349 PLN HT par mois), ce sont des sauvegardes quotidiennes et une réaction sous 1 jour ouvré, et Pro (à partir de 749 PLN HT par mois), une réaction sous 4 heures, y compris le week-end en cas de panne. Après un incident, il vaut la peine de commander un audit de sécurité avec rapport et corrections, à partir de 990 PLN HT. Si la faille concerne votre site dès maintenant, écrivez-moi : je réponds sous 24 heures.