Un matin, la passerelle de paiement renvoie une erreur sur toutes les commandes. Le temps de rétablir le service, plusieurs heures de chiffre d’affaires sont perdues. Pour une petite entreprise e-commerce, ce genre d’incident n’est pas un scénario théorique : c’est un risque opérationnel parmi d’autres.
Piratage de compte : le risque e-commerce que les petites entreprises sous-estiment
Le premier motif de demande d’aide des entreprises et associations auprès de Cybermalveillance.gouv.fr est le piratage de compte. Pas le site marchand, pas la base de données : le compte d’un outil ou d’un service utilisé au quotidien.
Pour un e-commerçant, cela concerne la messagerie professionnelle, le back-office de la boutique, le compte du prestataire de paiement ou l’accès au transporteur. Un seul mot de passe compromis peut donner accès à des commandes, des coordonnées clients, des relevés bancaires.
Un compte de messagerie piraté permet de réinitialiser la plupart des autres mots de passe. La parade la plus directe reste l’authentification à deux facteurs, activée sur chaque service sans exception. Souscrire une assurance e-commerce adaptée à la taille de la structure permet aussi de couvrir les pertes d’exploitation liées à ce type d’incident.
- Activer l’authentification à deux facteurs sur tous les comptes liés à l’activité (messagerie, CMS, paiement, expédition)
- Utiliser un gestionnaire de mots de passe pour éviter les réutilisations entre services
- Révoquer immédiatement les accès d’un ancien prestataire ou collaborateur
Exigences cyber des donneurs d’ordre : un risque commercial méconnu
NIS2, DORA : ces réglementations européennes ne s’appliquent pas directement à la plupart des petites boutiques en ligne. En revanche, les entreprises qui y sont soumises répercutent leurs obligations sur leurs fournisseurs. Une marketplace peut exiger des preuves de conformité ou un questionnaire de sécurité avant de référencer un e-commerçant.
Pour une TPE qui vend en B2B ou via une marketplace, refuser de répondre à ces questionnaires revient à perdre un client ou un canal de distribution. Le risque n’est pas technique, il est commercial.
Documenter ses pratiques de cybersécurité avant qu’on ne les demande reste la meilleure approche. Même un document simple (politique de mots de passe, fréquence des mises à jour, procédure de sauvegarde) démontre une démarche structurée. Anticiper ce type de demande évite de perdre un contrat dans l’urgence.
Fuite de données clients et obligations RGPD pour un site e-commerce
Une fuite de données personnelles déclenche une obligation de notification à la CNIL dans un délai de 72 heures. Pour une petite entreprise sans service juridique, ce délai est très court. Il faut identifier l’étendue de la fuite, prévenir les personnes concernées et documenter l’incident.
La perte de confiance des clients représente souvent le dommage le plus durable. Un acheteur dont les données ont été exposées hésite à recommander sur le même site. Publier un message transparent sur l’incident, en précisant les mesures correctives prises, limite partiellement l’érosion de la clientèle.
Réduire la surface d’exposition des données
Ne conserver que les données strictement nécessaires au traitement des commandes limite ce risque. Stocker des numéros de carte bancaire en interne n’a aucun sens quand le prestataire de paiement s’en charge. Purger régulièrement les comptes clients inactifs réduit le volume de données exposées en cas d’intrusion.
Le principe de minimisation prévu par le RGPD n’est pas qu’une contrainte réglementaire. Moins de données stockées signifie moins de données à protéger, et un périmètre d’incident plus restreint si une brèche survient. Concrètement, supprimer les historiques de commande au-delà de la durée légale de conservation allège à la fois le risque juridique et la charge technique.
Continuité d’activité : protéger le chiffre d’affaires d’une boutique en ligne
Une panne d’hébergement, une mise à jour qui casse le thème du site, un plugin de paiement retiré sans préavis : les interruptions de service ne viennent pas toujours d’une attaque. Chaque outil externe utilisé par la boutique constitue un point de défaillance potentiel.
- Maintenir une sauvegarde complète du site (fichiers et base de données) sur un stockage indépendant de l’hébergeur
- Identifier un prestataire de paiement alternatif activable rapidement
- Tester la restauration de la sauvegarde au moins une fois par trimestre
La différence entre une boutique qui reprend son activité en quelques heures et une autre qui reste hors ligne plusieurs jours tient rarement au budget. Elle tient à l’existence d’un plan de reprise, même sommaire, préparé avant l’incident. Formaliser ce plan sur un document accessible hors ligne (version imprimée ou fichier sur un support externe) garantit qu’il reste consultable même si l’infrastructure principale est indisponible.
