Quand le scan fait tomber la production : anatomie d'un sinistre à 47 000 €

Prenons un cas représentatif, reconstitué à partir de configurations fréquentes. Un pentester indépendant est mandaté pour auditer la plateforme e-commerce d'un client. Le mandat autorise les tests sur l'environnement de production, en dehors des heures d'affluence, technique de fuzzing comprise.

Lors d'une phase de fuzzing sur un formulaire de recherche, des requêtes malformées s'enchaînent à un rythme soutenu. Le formulaire déclenche, à chaque appel, une requête lourde non mise en cache. En quelques minutes, la base de données sature, les connexions s'épuisent, et le site devient inaccessible. L'indisponibilité dure environ six heures, le temps que l'équipe technique du client identifie la cause et redémarre proprement l'infrastructure.

Aucune malveillance, aucun hors-périmètre : le test était autorisé. Et pourtant, un dommage bien réel s'est produit. C'est précisément le terrain de la responsabilité civile professionnelle.

Le client ne réclame pas "un site en panne". Il chiffre des postes précis. Voici une décomposition réaliste pour une boutique en ligne réalisant un volume d'affaires moyen :

Pour un indépendant, ce montant peut représenter plusieurs mois de chiffre d'affaires. Sans assurance, il sort directement de la trésorerie — voire du patrimoine personnel si l'activité est exercée en nom propre.

Ce qui se joue dans les minutes qui suivent la panne pèse souvent plus lourd que tout le reste du dossier. Un pentester qui réagit en professionnel se distingue radicalement de celui qui panique ou qui tente de masquer son rôle.

Le premier réflexe est de cesser immédiatement le test et de prévenir le contact technique du client. Tenter de "réparer" soi-même un système que l'on ne maîtrise pas aggrave généralement la situation et brouille les responsabilités. Le deuxième réflexe est de préserver les preuves : horodatage des actions, logs de l'outil de test, copie des règles d'engagement. Ces éléments établiront que vous agissiez dans le périmètre autorisé, ce qui est déterminant pour la suite.

Le troisième réflexe, trop souvent négligé, est de déclarer le sinistre à votre assureur sans attendre la réclamation du client. La plupart des contrats imposent un délai de déclaration, et une notification précoce permet à l'assureur d'organiser la gestion du dossier, d'orienter la discussion avec le client et d'éviter que des engagements pris à chaud ne vous soient ensuite reprochés.

Un sinistre bien géré dans l'heure coûte souvent moins cher, et abîme moins la relation commerciale, qu'un sinistre minimisé puis découvert.

Cette posture — transparence, préservation, déclaration — transforme un incident technique embarrassant en un dossier maîtrisé. C'est exactement ce que votre assureur attend, et ce qui conditionne la sérénité de la prise en charge.

Observez le tableau : aucun ordinateur cassé, aucun serveur à remplacer. Le dommage est presque entièrement immatériel — il porte sur des pertes financières, pas sur des biens. C'est une caractéristique structurelle des métiers du numérique, et c'est là que beaucoup de contrats d'assurance généralistes pèchent.

De nombreux contrats RC Pro standard couvrent bien les dommages matériels et corporels, mais limitent ou excluent les préjudices financiers immatériels non consécutifs à un dommage matériel. Or, dans le cas du pentester, c'est exactement ce type de préjudice qui domine. Une RC Pro pensée pour les métiers IT doit explicitement intégrer la garantie des préjudices immatériels, y compris non consécutifs.

Le bon réflexe au moment de souscrire n'est pas de regarder le plafond global, mais de vérifier ligne à ligne que les préjudices financiers immatériels sont couverts, et à quel sous-plafond.

Notre page RC Professionnelle détaille la place de cette garantie. À noter aussi : une indisponibilité peut basculer vers le terrain cyber si elle s'accompagne d'une atteinte aux données — d'où l'intérêt d'une couverture combinant les deux volets.

Une réclamation à 47 000 € ne donne pas mécaniquement lieu à un chèque de 47 000 €. L'assureur — et le cas échéant l'expert — examine la réalité et la justification de chaque poste :

• La perte de marge se calcule sur la marge, pas sur le chiffre d'affaires brut : un client qui affiche son CA gonfle artificiellement le préjudice. Seul le gain réellement manqué est indemnisable.
• Les heures techniques doivent être documentées (feuilles de temps, factures du prestataire).
• Les pénalités contractuelles ne sont retenues que si elles étaient réellement dues et appliquées.
• Le lien de causalité entre votre test et la panne doit être établi : les logs, ironiquement, jouent ici en votre faveur autant qu'en votre défaveur.

L'enjeu pour vous n'est pas de minimiser le sinistre, mais de disposer d'un assureur qui gère la négociation à votre place. C'est l'une des valeurs les moins visibles de la RC Pro : au-delà de l'indemnisation, elle assure la défense de vos intérêts dans la discussion avec le client et son conseil.

Le meilleur sinistre est celui qui n'arrive pas. Plusieurs pratiques diminuent à la fois la probabilité de l'incident et, indirectement, votre exposition :

1. Privilégier l'environnement de recette quand il existe et qu'il est représentatif. Tester en production est parfois nécessaire, jamais anodin.
2. Limiter le débit (throttling) des outils automatisés : un fuzzing à pleine vitesse sur une prod fragile est la première cause d'indisponibilité accidentelle.
3. Négocier une fenêtre de maintenance et prévenir l'équipe d'astreinte du client, prête à réagir.
4. Disposer d'un point de contact technique joignable pendant le test pour stopper en cas d'anomalie.

Ces mesures figurent idéalement dans les règles d'engagement signées avec le client. Elles ne suppriment pas l'aléa — un système peut s'effondrer sous une charge que rien ne laissait prévoir — mais elles démontrent votre diligence, ce qui pèse favorablement en cas de litige. L'assurance prend ensuite le relais sur l'aléa résiduel, qui ne disparaît jamais totalement dans un métier consistant à pousser les systèmes dans leurs retranchements. Pour situer la place de la RC Pro dans l'équipement complet d'un indépendant en sécurité, consultez notre page assurance pentester.