Quand un test d'intrusion fait tomber la prod : un sinistre à 80 000 €

Imaginez un pentester freelance mandaté par un e-commerçant de taille moyenne pour auditer son application avant un pic saisonnier. Le périmètre est propre, le mandat signé, l'autorisation en règle. Tout commence comme une mission standard.

Pour gagner du temps, le test est lancé sur l'environnement de production, le client n'ayant pas d'environnement de pré-production iso. Le pentester active un module de fuzzing automatisé sur les formulaires et les API. En quelques minutes, le volume de requêtes générées dépasse ce que l'infrastructure peut absorber. La base de données sature, le serveur applicatif ne répond plus, et le site bascule en erreur 503.

Le problème : nous sommes un samedi après-midi, en pleine fenêtre de ventes. Le site reste indisponible quatre heures, le temps que l'équipe d'astreinte identifie la cause, coupe le test et relance les services. Aucune donnée n'est perdue, aucun système n'est définitivement endommagé. Et pourtant, le sinistre est bien réel.

L'erreur d'analyse classique consiste à se dire : « Rien n'est cassé, le serveur a redémarré, il n'y a pas de dommage. » C'est faux. Le dommage existe, mais il est immatériel : c'est la valeur économique que le client n'a pas pu générer pendant l'interruption.

En droit de la responsabilité, on distingue trois familles de dommages :

• Les dommages matériels : un équipement physiquement détruit. Ici, aucun.
• Les dommages immatériels consécutifs : la perte financière qui découle d'un dommage matériel.
• Les dommages immatériels non consécutifs : la perte financière sans destruction physique préalable. C'est exactement notre cas, et c'est aussi le plus souvent exclu des contrats d'assurance mal adaptés.

Pour le pentester, c'est le piège central : son risque principal n'est pas de casser une machine, mais de provoquer une perte de chiffre d'affaires sans rien détruire. Une RC Pro qui ne couvre que les dommages matériels et immatériels consécutifs le laisse nu face à son exposition la plus probable.

Reconstituons l'addition que le client présente au pentester. Les chiffres sont illustratifs mais représentatifs d'un e-commerce générant 200 000 € de CA mensuel.

Pour un freelance qui facture la mission quelques milliers d'euros, l'écart est vertigineux. Sans assurance, ce préjudice se paie sur le patrimoine personnel. Avec une RC Pro adaptée, c'est l'assureur qui négocie et indemnise dans la limite des plafonds souscrits.

Tout l'enjeu de l'indemnisation se joue sur une qualification : le plantage est-il un accident couvert ou une faute lourde exclue ? Les assureurs garantissent l'erreur professionnelle de bonne foi, mais excluent la faute intentionnelle et, selon les contrats, la faute lourde caractérisée par une négligence grossière.

Quelques exemples éclairent la frontière :

• Lancer un fuzzing standard sur un environnement déclaré comme étant de la production, faute de pré-production disponible : c'est un risque accepté et cadré, donc un accident assurable.
• Activer sciemment un module de déni de service sur un site marchand en plein pic, sans en informer le client : on bascule vers la négligence grossière.
• Ignorer un kill switch convenu et laisser un test saturer l'infrastructure pendant des heures : la faute lourde devient plausible.

D'où l'importance vitale de la traçabilité. Des logs montrant que vous avez utilisé des paramètres raisonnables, dans la fenêtre convenue, et que vous avez réagi dès l'alerte, ancrent l'incident du côté de l'accident garanti. À l'inverse, l'absence de cadrage écrit laisse l'assureur — et le juge — libres d'interpréter votre comportement à votre désavantage.

Une fois le sinistre déclaré, le mécanisme assurantiel s'enclenche en plusieurs temps :

1. Déclaration et instruction. Le pentester transmet le mandat, les logs du test, l'horodatage de l'incident. Ces preuves sont décisives : elles établissent qu'il était bien dans son périmètre et que le plantage relève d'un accident technique, pas d'une faute lourde.
2. Expertise du préjudice. L'assureur fait évaluer le CA réellement perdu, souvent inférieur au montant initialement réclamé par le client, qui a tendance à gonfler l'estimation en y mêlant des pertes non directement liées à l'incident.
3. Négociation. Le rôle de l'assureur est aussi de discuter le quantum face au client et à son conseil, ce qu'un freelance seul ne peut pas faire sereinement sans risquer de dégrader sa relation commerciale ou d'accepter une réclamation surévaluée.
4. Indemnisation. Le préjudice retenu est réglé dans la limite du plafond, après application de la franchise contractuelle.

Le réflexe qui sauve : conserver une journalisation horodatée de chaque action du test. C'est cette traçabilité qui distingue l'accident assurable de la faute potentiellement non garantie.

À noter : le délai de déclaration compte. La plupart des contrats imposent de signaler le sinistre dans un délai court après sa connaissance. Un freelance qui tarde, espérant régler le problème à l'amiable avec son client, peut se voir opposer une déchéance de garantie. Mieux vaut déclarer tôt, quitte à clôturer ensuite si le litige se dénoue seul.

L'assurance intervient après le dommage ; la prévention l'évite. Quelques règles de cadrage réduisent drastiquement la probabilité de faire tomber la prod :

• Privilégier un environnement de pré-production ou une copie iso. Si le client n'en a pas, le faire figurer noir sur blanc dans le mandat comme une limite explicite.
• Négocier une fenêtre de test hors pic d'activité, idéalement en heures creuses, avec une astreinte technique côté client joignable.
• Brider l'agressivité des outils : limiter le débit des scans, désactiver les modules destructeurs sur un environnement vivant.
• Définir un kill switch et un point de contact d'urgence dans les Rules of Engagement.
• Faire valider par le client la liste des actifs critiques à manipuler avec une prudence renforcée, voire à exclure du test automatisé.

Ces clauses ne sont pas seulement des bonnes pratiques techniques : elles construisent aussi votre dossier de défense. En cas de sinistre, un mandat qui mentionne noir sur blanc que le client a refusé une pré-production, imposé une fenêtre de test ou validé le caractère agressif d'un module déplace une part de la responsabilité. Le pentester qui documente ses recommandations et les arbitrages du client se protège bien au-delà du seul plan assurantiel.

Ce cadrage protège aussi votre matériel de travail et votre poste d'audit : un incident peut affecter votre propre infrastructure. Pensez à couvrir vos outils via une assurance matériel informatique en complément de votre RC Pro. Pour voir l'ensemble des garanties adaptées à votre activité, consultez la page assurance pentester freelance.