47 heures hors ligne : qui paie la perte de CA du client ?

Vendredi du Black Friday, 14 heures. Votre plateforme mutualisée héberge la boutique en ligne d'un client qui réalise ce week-end-là le quart de son chiffre d'affaires annuel. Un flux d'attaque par déni de service distribué (DDoS) sature le lien réseau. Le site devient inaccessible. Vos équipes basculent sur des mesures de mitigation, contactent l'opérateur amont, activent un filtrage — mais entre la détection, la qualification et la remise en service complète, le site reste indisponible 47 heures, soit l'intégralité du pic commercial.

Le lundi, votre client vous adresse une mise en demeure. Il ne se contente pas de réclamer l'avoir prévu au contrat : il chiffre la perte de chiffre d'affaires de son week-end, la perte de paniers, le coût de la campagne publicitaire qui a généré du trafic vers une page d'erreur, et l'atteinte à son image. Le total annoncé dépasse plusieurs dizaines de milliers d'euros. Comment se décompose réellement ce sinistre, et qui paie quoi ?

Tout contrat d'hébergement sérieux comporte un Service Level Agreement (SLA) qui engage un taux de disponibilité (par exemple 99,9 % sur le mois) et prévoit, en cas de non-respect, des pénalités sous forme d'avoirs ou de remises. C'est la première couche, et la plus prévisible.

Sur un engagement à 99,9 % mensuel, le « budget » d'indisponibilité tolérée est d'environ 43 minutes par mois. Une coupure de 47 heures pulvérise ce seuil. Les pénalités se déclenchent automatiquement, généralement calculées en pourcentage de la mensualité d'hébergement.

On le voit immédiatement : les pénalités SLA, calculées sur votre prix d'hébergement, sont dérisoires au regard du préjudice subi par le client. C'est le piège classique de l'hébergeur qui croit que son risque s'arrête à la grille de remises. La vraie exposition est ailleurs.

La pénalité SLA solde votre dette contractuelle au titre du service d'hébergement. Elle ne solde pas, en revanche, la réparation du préjudice réel que votre client peut chercher à obtenir si l'indisponibilité résulte d'une faute de votre part (défaut de protection anti-DDoS, infrastructure sous-dimensionnée, absence de plan de réponse).

C'est là que les dommages immatériels prennent une tout autre dimension :

• Perte de marge sur le CA non réalisé : le week-end aurait dû générer un volume de ventes mesurable, documenté par l'historique du client.
• Coût de l'acquisition gaspillée : les campagnes publicitaires lancées pour le pic ont envoyé du trafic vers une page d'erreur.
• Perte de clientèle : les acheteurs déçus sont allés chez un concurrent, parfois définitivement.

La pénalité SLA chiffrée à 75 € ne fait pas le poids face à une demande de réparation de plusieurs dizaines de milliers d'euros au titre de la perte de chiffre d'affaires.

C'est exactement le type de dommage immatériel qu'une RC Pro bien dimensionnée et une garantie Cyber ont vocation à absorber, plutôt que de laisser votre trésorerie encaisser seule le choc.

Une attaque DDoS est par nature un sinistre d'origine malveillante, ce qui la place au cœur du périmètre de la garantie Cyber. Pour un hébergeur, cette garantie intervient sur plusieurs postes du sinistre :

• Frais de mitigation et de gestion de crise : intervention d'experts, filtrage d'urgence, surcoûts de bande passante pour absorber l'attaque.
• Pertes d'exploitation consécutives à l'indisponibilité de votre propre infrastructure.
• Dommages immatériels causés aux clients : c'est ici que se loge la perte de chiffre d'affaires réclamée, dans la limite des plafonds souscrits.
• Frais de défense si le litige se judiciarise.

Sans cette couverture, l'hébergeur fait face seul à une demande qui peut représenter plusieurs années de marge sur le contrat concerné. La garantie Cyber transforme un événement potentiellement fatal pour une petite structure en un sinistre géré et indemnisé.

Pour comprendre l'ampleur du risque, il faut savoir comment un client va chiffrer sa demande — car c'est ce montant qui déterminera votre exposition réelle. La perte de chiffre d'affaires ne se décrète pas, elle se documente, et un client e-commerce dispose généralement des données pour le faire avec précision.

La méthode classique consiste à comparer la période d'indisponibilité avec une période de référence représentative :

On comprend pourquoi un sinistre de 47 heures sur un pic commercial peut générer une demande sans commune mesure avec votre mensualité d'hébergement. Le préjudice n'est pas proportionnel à votre prix : il est proportionnel à l'activité du client. Un même incident sur un site institutionnel sans transaction et sur une marketplace en plein Black Friday n'a strictement rien à voir en termes d'exposition. C'est cette asymétrie qui rend la garantie indispensable : votre marge ne pourra jamais absorber le préjudice d'un client dont l'activité dépasse de loin la vôtre.

L'assurance traite les conséquences ; vos conditions contractuelles, elles, déterminent l'ampleur de l'exposition en amont. Trois leviers font la différence entre un hébergeur qui maîtrise son risque et un hébergeur qui le subit :

1. La clause de limitation de responsabilité : plafonner votre responsabilité (par exemple à un montant indexé sur les sommes versées par le client) limite l'ampleur des réclamations. Attention : une clause manifestement déséquilibrée ou privant le client de tout recours peut être réputée non écrite.
2. L'exclusion des dommages indirects : préciser que vous ne répondez pas de la perte de CA, de la perte d'exploitation ou de la perte de chance du client. Sa validité dépend de sa rédaction et de l'absence de faute lourde.
3. La définition précise du SLA : ce qui est mesuré, comment, et ce qui est exclu (maintenance planifiée, force majeure, attaque externe).

Ces clauses ne suppriment pas le risque — une faute lourde ou une négligence caractérisée les fait tomber — mais elles dessinent le terrain sur lequel votre assureur pourra défendre votre cause. Pour comprendre comment articuler ces protections avec votre couverture, découvrez l'assurance dédiée aux hébergeurs d'application web.