Vous gardez les accès FTP et bases de vos clients : la bombe à retardement du créateur web
Par confort, vous centralisez les accès de tous vos clients dans un gestionnaire de mots de passe. Le jour où ce coffre est compromis, c'est l'ensemble de votre portefeuille qui tombe. Décryptage d'un risque systémique.
- Centraliser les accès FTP, admin et bases de données de tous vos clients fait de vous un point de défaillance unique : une seule compromission expose tout votre portefeuille.
- En cas d'intrusion via vos accès, votre responsabilité de prestataire peut être engagée, et plusieurs clients peuvent se retourner contre vous simultanément.
- Au-delà des dommages aux clients (RC Pro), la garantie cyber couvre VOS propres frais de crise : notification RGPD, expertise forensic, rançongiciel, reconstruction.
- Maîtriser l'hygiène des accès (rotation, MFA, cloisonnement) réduit le risque ; l'assurance cyber absorbe ce qui reste.
Le trousseau de clés que personne ne remarque
Au fil des projets, un créateur de sites web accumule sans y penser un patrimoine sensible : identifiants FTP, accès aux interfaces d'administration, mots de passe des bases de données, clés d'API de paiement, accès aux hébergeurs et aux noms de domaine de dizaines de clients. Par souci d'efficacité, tout cela finit souvent regroupé dans un seul gestionnaire de mots de passe, un fichier partagé, ou pire, un tableur.
Le confort est réel : vous intervenez en quelques secondes sur n'importe quel site. Mais vous êtes devenu, sans le vouloir, le gardien d'un trousseau de clés ouvrant des dizaines de portes. Et ce trousseau a une valeur considérable pour un attaquant. Compromettre un développeur, c'est compromettre tous ses clients d'un coup. C'est précisément la logique des attaques dites « par la chaîne d'approvisionnement » : viser le maillon prestataire plutôt que chaque cible individuellement.
Vous n'êtes plus seulement responsable de votre propre sécurité. Vous êtes le point de défaillance unique du portefeuille de tous vos clients.
Ce qui se passe quand le coffre cède
Imaginons un scénario réaliste. Un e-mail de phishing bien construit vous fait saisir le mot de passe maître de votre gestionnaire sur une fausse page. En quelques heures, l'attaquant dispose de tous vos accès clients. Il injecte un script malveillant sur plusieurs sites pour détourner les paiements, exfiltre des bases de données contenant des données personnelles, et chiffre l'un de vos propres serveurs en réclamant une rançon.
Les conséquences se déploient sur plusieurs niveaux :
- Vis-à-vis de vos clients : sites compromis, données de leurs propres utilisateurs exposées, pertes financières. Plusieurs peuvent vous mettre en cause en même temps.
- Vis-à-vis de la CNIL : si des données personnelles ont fuité, une notification de violation est obligatoire sous 72 heures, et la responsabilité du sous-traitant technique peut être recherchée.
- Pour vous-même : arrêt d'activité, frais d'expertise pour comprendre l'intrusion, reconstruction des systèmes, gestion de la rançon, atteinte à votre réputation.
Un même incident peut donc générer simultanément des réclamations de tiers et des coûts internes massifs.
RC Pro et cyber : deux garanties pour deux visages du même sinistre
C'est la distinction clé à comprendre, car les deux contrats ne couvrent pas la même chose et se complètent :
| Aspect du sinistre | Qui subit | Garantie qui répond |
|---|---|---|
| Préjudice causé à vos clients (faute, négligence) | Le tiers | RC Pro |
| Frais de notification CNIL et information des personnes | Vous | Cyber |
| Expertise forensic et reconstruction de vos systèmes | Vous | Cyber |
| Demande de rançon et gestion de crise | Vous | Cyber |
| Pertes d'exploitation pendant l'arrêt | Vous | Cyber |
La RC Pro indemnise les dommages que vous causez à autrui. Mais elle ne paie pas vos propres frais de crise. C'est le rôle de l'assurance cyber, qui finance la réponse à incident : cellule de crise, experts techniques, juristes RGPD, communication, et la perte d'exploitation pendant que vous remettez tout d'aplomb. Sur ces métiers, les deux sont complémentaires, pas interchangeables.
Réduire le risque avant de le transférer
Aucune assurance ne dispense d'une hygiène de sécurité minimale — et un assureur attend de vous des pratiques élémentaires. Quelques réflexes divisent le risque :
- Activez l'authentification à deux facteurs (MFA) partout : gestionnaire de mots de passe, hébergeurs, interfaces clients. C'est la mesure la plus rentable contre le phishing.
- Cloisonnez. Évitez le mot de passe maître unique. Segmentez les accès clients pour qu'une compromission n'ouvre pas tout d'un coup.
- Rendez les accès au client en fin de mission et changez les mots de passe que vous n'avez plus à détenir. Moins vous gardez de clés, plus petite est votre surface d'attaque.
- Définissez par contrat votre rôle en matière de sécurité et de maintenance. Préciser que le client est responsable des mises à jour s'il refuse votre contrat de maintenance borne votre responsabilité.
- Sauvegardez hors ligne vos propres environnements pour résister à un rançongiciel.
Pourquoi l'assurance reste indispensable malgré tout
Même avec une hygiène irréprochable, le risque zéro n'existe pas. Les attaques se professionnalisent, le phishing devient indétectable, et il suffit d'un moment d'inattention. La différence entre un freelance qui survit à un incident cyber et un autre qui met la clé sous la porte tient à sa préparation financière et opérationnelle.
Sans assurance, un sinistre cyber sérieux cumule des dizaines de milliers d'euros de frais d'expertise, d'indemnisation et de pertes d'activité — un montant souvent fatal pour une petite structure. Avec une garantie cyber adossée à votre RC Pro, vous bénéficiez en plus d'une cellule de réponse à incident joignable en urgence : des experts qui prennent la main pendant que vous gérez vos clients, au lieu d'improviser seul en pleine crise.
Centraliser les accès de vos clients est un choix opérationnel légitime. Mais c'est un choix qui transforme votre activité en cible de valeur. La bonne posture n'est pas de renoncer au confort : c'est de le sécuriser, puis d'assurer le résidu de risque que vous ne pouvez pas éliminer.
Questions fréquentes
Potentiellement oui. Si l'intrusion exploite vos accès ou une négligence de votre part (mot de passe faible, absence de MFA), votre responsabilité de prestataire peut être engagée. La RC Pro couvre alors les dommages causés au client.
Les deux sont complémentaires. La RC Pro indemnise les dommages causés à vos clients, mais ne paie pas vos propres frais de crise : notification CNIL, expertise forensic, rançongiciel, reconstruction, perte d'exploitation. C'est la garantie cyber qui couvre ces coûts.
Elle finance la réponse à incident : cellule de crise et experts techniques, juristes pour la notification RGPD à la CNIL et l'information des personnes, gestion d'une demande de rançon, reconstruction des systèmes et perte d'exploitation pendant l'arrêt.
Si la fuite concerne des données personnelles, une notification à la CNIL sous 72 heures est en principe obligatoire, et la responsabilité du sous-traitant technique peut être recherchée. La garantie cyber prend en charge l'accompagnement de cette démarche.
Non. L'assureur attend des mesures élémentaires (MFA, cloisonnement des accès, restitution des identifiants en fin de mission). L'assurance transfère le risque résiduel, mais une négligence grave peut réduire la prise en charge.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Création de sites web — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Création de sites web →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.