La sécurité, critère oublié du choix d'une agence web

Le média Comarketing-News consacre un article au fait que la sécurité ne se limite plus à ce qui se passe derrière un écran. Nous n'avons connaissance que du titre et d'un extrait, et nous ne rapporterons donc pas les exemples développés. Mais l'idée générale est utile à un dirigeant : la sécurité n'est pas seulement une affaire de pare-feu et de mots de passe, elle relève aussi des pratiques quotidiennes, des habitudes de travail et des personnes qui accèdent à vos systèmes. Or, parmi ces personnes, il y a très souvent votre agence.

Rappelons ce qu'une agence web ou marketing détient réellement. Elle dispose fréquemment des accès administrateurs de votre site, des identifiants de votre hébergement, des comptes publicitaires reliés à un moyen de paiement, des outils d'envoi d'e-mails contenant votre base de contacts, et parfois d'un accès à votre outil de gestion commerciale. Le niveau de privilège est considérable, et pourtant il est rarement audité au moment de la sélection.

Le premier point à vérifier est la gestion des accès chez le prestataire. Chaque collaborateur dispose-t-il d'un compte nominatif, ou l'équipe partage-t-elle un identifiant commun ? L'authentification à deux facteurs est-elle imposée ? Que se passe-t-il quand un salarié quitte l'agence : les accès sont-ils révoqués, et sous quel délai ? Ces questions sont simples, et la qualité de la réponse vous renseigne immédiatement sur le degré de professionnalisme.

Le deuxième point concerne le traitement des données personnelles. Si l'agence manipule vos fichiers clients, elle agit en qualité de sous-traitant au sens du cadre européen de protection des données, ce qui suppose un contrat écrit encadrant les finalités, la durée de conservation et les mesures de sécurité. La CNIL met à disposition des ressources publiques sur ces obligations. Demandez à voir le document, et lisez-le : son absence est en soi une information.

Le troisième point porte sur la sauvegarde et la continuité. Interrogez le prestataire sur la fréquence des sauvegardes de votre site, sur leur emplacement, et surtout sur la dernière fois qu'une restauration a été testée. Une sauvegarde jamais restaurée n'est qu'une hypothèse. Faites également préciser le délai de réaction en cas d'incident majeur, y compris en dehors des horaires de bureau, et ce que couvre ou non le contrat de maintenance sur ce plan.

Le quatrième point est celui des canaux de communication. Beaucoup d'incidents commencent par un échange banal : un mot de passe transmis dans une conversation informelle, une pièce jointe ouverte sans vérification, une demande urgente qui imite le ton d'un interlocuteur habituel. Convenez avec votre agence d'une règle simple : aucun identifiant ni aucune coordonnée bancaire ne circule par messagerie ordinaire, et toute demande inhabituelle est confirmée par un second canal.

Le cinquième point concerne la sortie de relation. Le jour où vous changez de prestataire, la liste exhaustive des accès à révoquer doit exister. Tenez-la à jour dès le premier jour de la collaboration, en y consignant chaque outil, chaque compte et chaque personne autorisée. Les entreprises découvrent souvent, des mois après une rupture, qu'un ancien prestataire conservait un accès actif à un outil oublié.

En définitive, la sécurité mérite une place explicite dans votre grille de comparaison, au même titre que le prix ou la créativité. Une agence qui répond posément à ces questions, sans se vexer, vous montre qu'elle a déjà réfléchi au sujet. Une agence qui les prend pour de la méfiance vous indique, sans le vouloir, qu'elle n'a pas de procédure à présenter.