Faille de conception : ce que coûte vraiment une CVE héritée d'une décision d'architecture

L'incident débute rarement par une attaque sophistiquée. Il commence par une décision d'architecture banale, prise en sprint zéro, validée à l'oral, jamais formalisée. Trente mois plus tard, un attaquant exploite une faille structurelle : un jeton de session non révoqué côté serveur, une délégation OAuth mal cloisonnée entre tenants, un endpoint interne exposé par défaut sur l'API gateway, un secret en clair stocké dans une variable d'environnement lue par le sidecar de log.

Aucune de ces vulnérabilités n'est un bug de code. Toutes naissent d'un choix d'architecture, c'est-à-dire d'une décision que l'architecte logiciel a prise — ou laissé prendre — au moment où le système prenait forme. C'est précisément cette filiation entre arbitrage de conception et incident d'exploitation qui transforme un simple data breach en une mise en cause professionnelle de l'architecte logiciel.

Ce que dit la jurisprudence récente

Plusieurs décisions de tribunaux de commerce français ont retenu, depuis 2023, la responsabilité du prestataire technique lorsque la cause racine de l'incident remontait à un défaut de conception non documenté. La logique est constante : l'architecte est tenu d'une obligation de moyens renforcée. À défaut de pouvoir démontrer qu'il a alerté son client sur le risque, il est présumé avoir manqué à son devoir de conseil.

Prenons un cas représentatif, anonymisé mais réaliste : un architecte freelance intervenu en 2022 pour structurer la plateforme SaaS B2B d'un éditeur de logiciel français. En 2025, un attaquant exploite une faille de contrôle d'accès horizontal (IDOR sur l'API de facturation) et exfiltre 47 000 enregistrements clients. Voici la décomposition réelle du coût.

Total assumé par l'architecte sans assurance adaptée : entre 78 000 € et 154 000 €, hors honoraires de défense. Avec une couverture combinée RC Pro et garantie Cyber à 12,90 € par mois côté Insurio, l'exposition résiduelle se limite à la franchise contractuelle.

La confusion entre les deux garanties est la première cause de sinistre mal indemnisé. Voici la frontière en pratique.

Ce que couvre la RC Pro de l'architecte logiciel

• La faute de conception elle-même : l'arbitrage technique qui a créé la faille (mauvais cloisonnement, défaut de validation côté serveur, choix d'un mécanisme d'auth déprécié).
• Les dommages immatériels subis par le client : perte d'exploitation, perte de chance, coûts de remédiation imputables à la cause racine.
• L'atteinte à l'image et le préjudice de réputation du client, dans les limites contractuelles.
• Les frais de défense en cas de mise en cause, y compris en référé d'expertise.

Ce que couvre la garantie Cyber

• Les frais de gestion de crise : forensic, communication, hotline, cellule de crise.
• Les obligations légales : notification CNIL sous 72 h, information des personnes concernées, frais juridiques RGPD.
• Le rançon en cas de ransomware (selon contrat) et les frais de restauration des systèmes.
• La perte d'exploitation directe consécutive à l'incident, côté assuré.

Concrètement : la RC Pro répond à la question « est-ce ma faute ? », la Cyber répond à la question « comment je gère l'incident maintenant ? ». Un architecte qui conseille des clients sensibles a besoin des deux.

Sur les sinistres traités par les assureurs français entre 2023 et 2025, trois familles concentrent près de 70 % des montants indemnisés.

1. Le contrôle d'accès cassé par construction. IDOR, BOLA (Broken Object Level Authorization), absence de séparation tenant. Coût moyen : 180 000 €. Délai entre arbitrage et exploitation : 18 à 36 mois.
2. La gestion des secrets et de l'identité. Secrets dans des images Docker publiques, jetons de longue durée non révocables, fédération mal configurée entre IdP. Coût moyen : 220 000 €. Particularité : la cause racine est presque toujours un compromis de productivité validé en réunion sans trace écrite.
3. Les flux asynchrones non audités. Files de messages, webhooks, workers qui traitent des données sensibles sans contrôle d'intégrité. Coût moyen : 140 000 €. Détection souvent tardive (plus de six mois après l'exfiltration).

Pour chacune de ces familles, l'architecte qui peut produire une décision écrite, datée, validée par le client (un ADR — Architecture Decision Record — ou une note technique signée) divise par trois son exposition de responsabilité. À défaut, la présomption de faute joue à plein.

La protection ne se construit pas après l'incident. Elle se construit dans les semaines qui suivent la signature de la mission. Trois réflexes documentés réduisent drastiquement l'exposition.

• Formaliser les arbitrages de sécurité par écrit. Chaque décision structurante (choix d'un IdP, modèle d'autorisation, stratégie de cloisonnement) doit faire l'objet d'un document daté, listant les options envisagées, le choix retenu et les risques résiduels acceptés par le client.
• Lister les risques résiduels dans le livrable d'architecture. Un registre des risques signé par le client transfère la charge de la preuve : si une vulnérabilité connue, mentionnée et acceptée, est exploitée, l'architecte n'est plus seul à porter la responsabilité.
• Souscrire la RC Pro avant la première mission. Une réclamation reçue après la fin du contrat est couverte si la police était en vigueur au moment des faits (selon la clause de reprise du passé). Souscrire après l'incident est trop tard.

L'offre Insurio pour les architectes logiciels est conçue pour cette logique : RC Pro à 12,90 € par mois, garantie Cyber en option, défense incluse, reprise du passé inconnu sur cinq ans.