Plugin tiers qui casse le site : qui est responsable, vous ou l'éditeur ?

Vous êtes intégrateur CMS. Vous assemblez des briques : un thème acheté sur un marketplace, une dizaine de plugins WordPress, une passerelle de paiement, un constructeur de pages. Vous n'avez écrit aucune de ces lignes. Quand l'une d'elles casse le site, votre premier réflexe est légitime : "ce n'est pas mon code".

Juridiquement, ce raisonnement est un piège. Votre client ne vous a pas commandé du code : il vous a commandé un résultat fonctionnel, un site qui marche. Aux yeux du droit, vous êtes tenu à une obligation de moyens renforcée sur l'ensemble de la chaîne que vous avez assemblée. Le fait qu'un composant soit l'œuvre d'un tiers ne vous exonère pas : c'est vous qui l'avez sélectionné, installé, configuré et intégré dans un ensemble.

La question juridique n'est donc jamais "qui a écrit le bug ?" mais : "un professionnel diligent aurait-il fait ce choix, et l'aurait-il configuré ainsi ?". C'est sur ce terrain que se joue votre responsabilité.

Le professionnel du numérique est débiteur d'un devoir de conseil envers son client, généralement profane en technique. Ce devoir se décline en trois moments où votre responsabilité peut être engagée, même sans une seule ligne de code écrite de votre main :

• Au choix : avez-vous retenu un plugin maintenu, populaire, compatible avec la version du CMS ? Installer une extension abandonnée depuis trois ans, sans mise à jour, est une faute caractérisée.
• À la configuration : un plugin de cache mal réglé qui sert des pages obsolètes, un module de paiement en mode test laissé en production, une option de sécurité désactivée "pour que ça marche" engagent directement votre faute.
• À l'alerte : si vous livrez sans contrat de maintenance, vous devez avertir le client par écrit que les plugins devront être mis à jour et que, faute de suivi, le site se dégradera. Une mise en garde écrite vous protège ; son absence vous expose.

La jurisprudence sur les prestations informatiques est constante : le silence du professionnel sur un risque qu'il connaissait, ou aurait dû connaître, est une faute. Conservez systématiquement les traces écrites de vos recommandations.

La quasi-totalité des plugins WordPress sont distribués sous licence GPL (ou compatible). Ces licences contiennent une clause d'exclusion de garantie en lettres capitales : le logiciel est fourni "AS IS", sans aucune garantie, et l'éditeur décline toute responsabilité.

"THE PROGRAM IS PROVIDED WITHOUT WARRANTY OF ANY KIND... THE ENTIRE RISK AS TO THE QUALITY AND PERFORMANCE OF THE PROGRAM IS WITH YOU."

Lisez bien le dernier membre de phrase : le risque est transféré sur celui qui utilise le logiciel, c'est-à-dire vous, l'intégrateur. Cette clause protège l'éditeur du plugin. Elle ne crée aucun lien protecteur entre vous et votre client. Vous ne pouvez pas opposer à votre client une clause d'un contrat (la licence) auquel il n'est pas partie.

Concrètement : si un plugin GPL gratuit corrompt la base de données d'un site e-commerce, l'éditeur ne vous doit rien, et vous, vous devez quand même répondre devant votre client de l'incident. Vous êtes le maillon contractuel par lequel le préjudice remonte. C'est précisément ce trou de responsabilité que votre assurance RC Pro vient combler.

Pour faire économiser une licence à un client, certains intégrateurs installent des versions "nulled" — des extensions premium crackées, dont la protection de licence a été contournée, récupérées sur des sites de partage. C'est la pire décision possible.

D'abord parce que ces versions sont massivement piégées : elles contiennent fréquemment des portes dérobées, du code injecté, des redirections malveillantes. Une étude de sécurité bien connue du secteur a montré qu'une large majorité des thèmes et plugins distribués hors canaux officiels embarquaient du code malveillant. Vous installez vous-même la faille.

Ensuite parce que vous engagez votre responsabilité sur plusieurs fronts :

• Contrefaçon : utiliser un logiciel dont la protection a été contournée est un délit. Le risque n'est plus seulement civil, il devient pénal.
• Faute intentionnelle ou dolosive : c'est un point crucial pour l'assurance. Une faute volontaire n'est jamais couverte par une RC Pro. En installant sciemment un plugin cracké, vous sortez du champ de la garantie et vous vous retrouvez seul face au sinistre.

La règle est simple et sans exception : on n'installe que des licences légitimes, achetées par le client ou refacturées. Le surcoût d'une licence officielle est dérisoire face au coût d'un site défacé et d'une garantie d'assurance qui ne joue plus.

Quand un client vous réclame réparation après le plantage d'un plugin, l'assureur analyse la chaîne de responsabilité. Ce qui compte n'est pas l'origine technique du bug, mais l'existence d'une faute professionnelle de votre part : un choix imprudent, une configuration négligente, un défaut de mise en garde.

Si cette faute est établie — et le client la cherchera —, votre RC Pro intervient pour couvrir les dommages immatériels subis par le client (perte d'exploitation, perte de chiffre d'affaires) ainsi que vos frais de défense. C'est ce dernier point qu'on sous-estime : même une réclamation infondée déclenche des frais d'avocat et d'expertise que la protection juridique de votre contrat prend en charge.

Pour les intégrateurs qui assurent aussi la maintenance ou l'hébergement, l'option Cyber ajoute une couche essentielle : si la faille d'un plugin obsolète conduit à un ransomware ou à une fuite de données, ce volet couvre la remédiation, la notification et la perte d'exploitation, là où la seule RC Pro atteint vite ses limites.

Retrouvez le détail des garanties adaptées à votre activité sur la page dédiée à l'assurance de l'intégrateur CMS.

Vous ne pouvez pas éliminer le risque lié au code tiers, mais vous pouvez le documenter et le contractualiser pour qu'il ne se retourne pas contre vous :

1. Listez les extensions dans le devis et précisez lesquelles sont gratuites, payantes, et sous licence GPL sans garantie éditeur.
2. Imposez des licences légitimes : jamais de "nulled", sans aucune exception.
3. Stipulez par écrit que les mises à jour relèvent du client en l'absence de contrat de maintenance, et que vous n'êtes pas garant du comportement futur des plugins tiers.
4. Signez un PV de recette qui acte que le site fonctionne au moment de la livraison.
5. Souscrivez une RC Pro qui couvre explicitement la faute de conseil et de configuration, afin que le trou de garantie laissé par les licences open source soit comblé par votre assureur, pas par votre trésorerie.