Cybersécurité d'un petit commerce : site, sauvegardes et plainte sous 72 h
Antoine Auffray
5 min de lecture
Du 1er au 31 octobre 2026, Cybermalveillance.gouv.fr organise la 14e édition du Cybermois, un mois de sensibilisation tourné d'abord vers les TPE et les PME. Entreprendre Service-Public l'a rappelé le 16 octobre en citant le Baromètre France Num 2026 : plus de 53 % des TPE et PME craignent de perdre leurs données ou de se les faire pirater, un point de plus qu'en 2025.
Le Cybermois s'inscrit dans le Mois européen de la cybersécurité, porté par l'Agence de l'Union européenne pour la cybersécurité. Il prend la forme de webinaires, d'ateliers, de conférences et de journées de sensibilisation, recensés dans un agenda en ligne filtrable par région et par public, dont les entreprises.
Pour un commerçant, l'intérêt du mois tient moins aux événements qu'aux trois ressources vers lesquelles renvoie l'annonce de Service-Public. Elles répondent à une question simple : que faire avant une attaque, et dans les heures qui suivent ?
- Une entreprise victime d’une cyberattaque doit porter plainte dans les 72 heures suivant la découverte pour être indemnisée par son assureur.
- La règle vaut aussi pour les indépendants, et le contrat doit déjà couvrir le risque cyber.
- La modification non sollicitée d’un site internet (défaçage) fait partie des attaques visées.
- MesServicesCyber, de l’ANSSI, propose un parcours gratuit : 12 mesures pour démarrer, 58 pour aller plus loin.
- Mises à jour, sauvegarde hors du serveur et double authentification : les trois points à vérifier sur le site.
Sommaire
Ce que dit la loi : la plainte sous 72 heures
Depuis le 24 avril 2023, une entreprise victime d'une cyberattaque dans le cadre de son activité professionnelle doit porter plainte dans les 72 heures pour être indemnisée par son assureur. La règle vient de l'article 5 de la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur (LOPMI).
Trois précisions comptent :
- le délai part de la découverte des pertes et dommages, pas de la date de l'attaque. Une intrusion ancienne découverte hier ouvre un délai de 72 heures à partir d'hier ;
- la règle vise tout le monde : travailleurs indépendants et entrepreneurs individuels comme sociétés et associations ;
- la plainte ne suffit pas : le contrat d'assurance doit déjà couvrir le risque cyber. Sans plainte dans le délai, l'assuré couvert n'est pas indemnisé.
Schéma
72 heures pour porter plainte, sinon pas d’indemnisation
- Heure 0Découverte de l’attaqueLe délai part de la découverte des pertes et dommages, pas de la date de l’attaque.
- Avant 72 heuresDépôt de plainteCondition fixée par l’article 5 de la LOPMI, pour toute victime dans un cadre professionnel.
- EnsuiteIndemnisation possibleÀ condition que le contrat d’assurance couvre déjà le risque cyber.
Le site internet figure en toutes lettres dans les attaques visées. Service-Public cite le défaçage, défini comme la « modification non sollicitée d'un site internet », aux côtés des rançongiciels, de l'hameçonnage, du vol de données, du déni de service, de l'interception de communications sur un wifi public et de l'exploitation d'une faille non corrigée dans un logiciel.
Les 13 questions du guide ANSSI et DGE
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la Direction générale des entreprises (DGE) ont publié avec la CPME et France Num un guide, « La cybersécurité pour les TPE/PME en 13 questions ». Il aide le dirigeant à faire le point, question par question. Pour un commerce qui a un site, six d'entre elles se traitent en priorité :
- Effectuez-vous des sauvegardes régulières ?
- Appliquez-vous régulièrement les mises à jour ?
- Avez-vous implémenté une politique d'usage de mots de passe robustes ?
- Comment sécurisez-vous votre messagerie ?
- Avez-vous fait évaluer la couverture de votre police d'assurance au risque cyber ?
- Savez-vous comment réagir en cas de cyberattaque ?
Service-Public a présenté le guide en novembre 2022, et sa fiche porte aujourd'hui la mention « article ancien ». Les questions restent valables, mais pour un état des lieux à jour, le diagnostic de l'ANSSI ci-dessous est plus récent.
MesServicesCyber, le diagnostic gratuit de l'ANSSI
Lancée par l'ANSSI en 2025, la plateforme MesServicesCyber réunit les services et les ressources utiles à une entreprise. Elle propose un parcours gratuit adapté au niveau de départ : 12 mesures pour démarrer, avec l'aide d'un « Aidant cyber » si besoin, puis 58 mesures pour aller plus loin.
Un test de maturité cyber donne en 5 minutes une évaluation indicative. Il mesure la posture de l'entreprise face aux enjeux cyber, pas le niveau de sécurité réel de ses systèmes. La plateforme liste aussi des contacts cyber de proximité, des prestataires qualifiés et labellisés, et des financements.
Ce que ça implique pour le site d'un commerce
- 1.
Sachez qui fait les mises à jour.
Un site sous WordPress ou un autre gestionnaire de contenu repose sur un logiciel et des extensions qui reçoivent des correctifs. La faille « jusqu'alors non corrigée » figure parmi les attaques citées par Service-Public. Notre conseil : posez la question par écrit à votre prestataire, ou notez dans votre agenda qui s'en charge si c'est vous.
- 2.
Gardez une sauvegarde hors du serveur.
Une sauvegarde stockée au même endroit que le site peut disparaître avec lui en cas de rançongiciel ou de suppression. Demandez où elle se trouve et depuis quand elle n'a pas été restaurée pour de vrai.
- 3.
Protégez les accès d'administration.
Un mot de passe unique par compte, et la double authentification partout où elle existe : back-office du site, fiche Google, messagerie, réseaux sociaux. Le Baromètre France Num 2026 compte 39 % de TPE et PME qui l'ont mise en place (voir notre lecture du baromètre).
- 4.
Relisez votre contrat d'assurance.
Vérifiez qu'il couvre le risque cyber, puis notez quelque part le numéro de contrat et celui de l'assureur. Le jour d'une attaque, le délai de 72 heures court déjà.
- 5.
Préparez la réaction.
Si votre site affiche des pages que vous n'avez pas écrites, faites des captures d'écran datées, portez plainte dans les 72 heures, prévenez votre assureur et votre prestataire. Pour l'assistance, la plateforme publique est Cybermalveillance.gouv.fr.
Chez Exploreum, l'hébergement, la sécurité, les sauvegardes et les mises à jour sont compris dans l'abonnement de nos sites vitrines. Le commerçant n'a pas à suivre les correctifs lui-même. La plainte et l'assurance restent à sa charge : la loi les attache à la victime, pas à son prestataire.
Un site touche aussi aux données personnelles de vos clients, avec ses propres obligations : voir la politique de confidentialité d'un site internet.
Échéances
- Jusqu'au 31 octobre 2026 : Cybermois, avec son agenda d'événements, dont une partie ouverte aux entreprises.
- En permanence : plainte dans les 72 heures suivant la découverte d'une cyberattaque, condition de l'indemnisation par l'assureur.
Sources
- Du 1er au 31 octobre, devenez « cyber-responsable » avec le Cybermois !, Entreprendre Service-Public, publié le 16 octobre 2026, consulté le 19 octobre 2026.
- Cyberattaque dans le cadre de l'activité professionnelle : l'indemnisation subordonnée à une plainte dans les 72 heures, Entreprendre Service-Public, mis à jour le 4 août 2025, consulté le 19 octobre 2026. Texte de référence : article 5 de la loi n° 2023-22 du 24 janvier 2023 (LOPMI).
- TPE/PME : comment se protéger face aux attaques informatiques ?, Entreprendre Service-Public, mis à jour le 28 août 2024, consulté le 19 octobre 2026.
- MesServicesCyber, ANSSI, consulté le 19 octobre 2026.
- Agenda du Cybermois 2026, Cybermalveillance.gouv.fr, consulté le 19 octobre 2026.