Les fonctionnalités de sécurité d’un site créé avec une plateforme SaaS sont-elles payantes en supplément ?

Les fonctionnalités de sécurité d’un site SaaS ne nécessitent pas toutes forcément des frais supplémentaires. Le forfait de base peut déjà inclure le HTTPS, des sauvegardes de base et certaines protections réseau. En revanche, les certificats dédiés, les sauvegardes à long terme, la restauration à la demande, la protection avancée contre les attaques et les audits de sécurité peuvent être facturés séparément selon le niveau du forfait ou l’utilisation. Pour évaluer le coût de la sécurité d’un site SaaS, prévoyez un budget tenant compte de l’étendue des fonctionnalités, des limites d’utilisation, des frais de restauration et des conditions de renouvellement.

Certificats SSL : distinguer « disponible » et « inclus »

Un certificat SSL chiffre la connexion entre le navigateur et le site web. Si le devis indique « SSL pris en charge », cela ne signifie pas nécessairement que le coût du certificat est inclus : le système peut simplement permettre de configurer un certificat, qui reste à acheter séparément. Même si la mention « SSL gratuit » apparaît, vérifiez si elle s’applique au domaine fourni par le système ou à votre propre domaine associé.

Les sites multilingues utilisent souvent plusieurs domaines ou sous-domaines. L’étendue de couverture du certificat, son mode de renouvellement automatique et les frais de reconfiguration après un changement de domaine ont tous une incidence sur le coût réel. Si le forfait inclut un certificat de base, mais que le projet exige un type de certificat particulier ou une gestion autonome du certificat, vérifiez également si le système permet de l’importer et si des frais de configuration sont facturés.

HTTPS protège uniquement la connexion pendant le transfert des données ; il ne remplace ni la gestion des droits des comptes, ni les sauvegardes de données, ni la protection contre les attaques. Un certificat gratuit ne signifie pas que l’ensemble des frais de sécurité du site est couvert.

Le coût des sauvegardes dépend souvent des conditions de restauration

La mention « sauvegarde des données fournie » reste vague. Les éléments qui influent réellement sur le coût sont le contenu couvert par les sauvegardes, leur fréquence, leur durée de conservation et la possibilité de les restaurer soi-même. Les pages, images, informations sur les produits, commandes et demandes envoyées via les formulaires d’un système de création de sites ne relèvent pas nécessairement tous du même périmètre de sauvegarde.

Par exemple, un forfait peut inclure des sauvegardes régulières tout en ne conservant qu’un nombre limité de versions antérieures. Si la suppression accidentelle d’un contenu n’est découverte que tardivement, la version requise peut ne plus figurer dans les sauvegardes disponibles. La prolongation de la durée de conservation, l’augmentation de la fréquence des sauvegardes ou la sauvegarde séparée de la base de données peuvent entraîner des frais supplémentaires.

Les conditions de restauration doivent également faire l’objet d’un devis distinct : s’agit-il de restaurer l’ensemble du site ou peut-on restaurer une page, une commande ou un fichier individuel ? Que deviennent les nouvelles données après le retour à une version antérieure ? Certains services incluent le stockage des sauvegardes dans le forfait, mais facturent séparément la restauration manuelle, la restauration à un moment précis ou le traitement d’urgence. Il est préférable de faire préciser ces conditions dans le devis afin d’éviter de découvrir, après un incident, qu’il existe un écart entre « des sauvegardes disponibles » et « une restauration à la demande ».

Pour les services de protection, vérifiez le périmètre couvert et le mode de facturation déclenché

Une protection de sécurité de base peut être fournie avec l’infrastructure cloud ou le forfait de création de sites, tandis que la protection avancée est souvent liée au niveau du forfait, au volume de trafic ou à un service distinct. Pour comparer les offres, examinez les catégories de frais suivantes :

• Protection contre le trafic malveillant et les attaques : vérifiez le périmètre de protection inclus, les limites de trafic et les modalités appliquées en cas de dépassement. Celui-ci peut entraîner des frais, une limitation du trafic ou une suspension du service. Ne vous contentez donc pas de comparer la présence de la mention « protection contre les attaques ».
• Protection des applications web : les règles de blocage des requêtes malveillantes peuvent être proposées sous forme de règles de base ou configurables. Si un ajustement spécifique des règles ou le traitement des faux positifs est nécessaire, vérifiez si une assistance humaine est incluse.
• Détection et traitement des codes malveillants : l’analyse régulière, les alertes, le nettoyage et la restauration sont des étapes distinctes. La prise en charge des analyses ne signifie pas que le nettoyage est inclus. Le délai de réponse et le périmètre du service en cas d’anomalie détectée doivent également être précisés dans l’accord.
• Journaux et audit : les droits de consultation, la durée de conservation et les modalités d’exportation des journaux de connexion, d’activité et d’événements de sécurité peuvent être soumis aux limites du forfait.

Après le lancement d’une campagne publicitaire ou d’une opération promotionnelle, le trafic peut augmenter fortement sur une courte période. Si le service de protection est facturé selon le trafic ou le nombre de requêtes, vérifiez si le trafic normal généré par les campagnes est comptabilisé dans les limites et comment les dépassements sont facturés. Pour les formulaires de demande de renseignements, évaluez également les mesures contre les soumissions indésirables : des blocages trop fréquents peuvent empêcher des clients potentiels d’envoyer leur demande, tandis que l’absence de restrictions peut augmenter le coût du traitement des messages indésirables.

Les droits des comptes et les connexions à des services tiers peuvent également modifier les coûts

Lorsque plusieurs personnes gèrent le site, le nombre de comptes d’administration, les rôles et les droits d’accès ainsi que les fonctions de protection de la connexion influent sur la configuration de sécurité. Un forfait de base peut ne prévoir qu’un nombre limité de comptes. La répartition détaillée des droits entre la modification du contenu, la gestion des commandes et les paramètres du système, ou l’activation d’une vérification de connexion renforcée, peut nécessiter un forfait supérieur. Vérifiez si les droits peuvent être attribués selon les fonctions et si les comptes peuvent être désactivés rapidement lorsqu’un membre de l’équipe quitte l’entreprise.

Lorsque le site est connecté à des outils de paiement, de gestion de la clientèle ou de marketing, précisez également entre quels systèmes les données sont transférées, qui gère les droits d’accès aux interfaces et si la connexion entraîne des frais distincts. Les services de sécurité inclus dans le forfait de création de sites ne couvrent pas nécessairement les systèmes tiers. En cas d’échec de la synchronisation des données des formulaires ou de fuite d’une clé d’interface, il convient aussi de définir à l’avance les responsabilités relatives au diagnostic, à la reconfiguration et à la récupération des données.

Comparer les frais de sécurité dans le cadre d’un devis complet

Deux devis mentionnant tous deux « services de sécurité inclus » ne sont pas nécessairement comparables directement, car le nombre de domaines, la durée de conservation des sauvegardes et les limites de protection peuvent différer. Il est préférable de détailler séparément les frais initiaux, les prix de renouvellement, les quotas inclus dans le forfait et les frais de dépassement, en précisant la période de service correspondant à chaque frais. Les fonctionnalités accessibles uniquement après une mise à niveau doivent également être évaluées au prix réel du forfait qui les inclut.

Le contrat ou les conditions de service doivent également préciser la notification des incidents, la procédure de demande de restauration et la répartition des responsabilités. En cas de suppression accidentelle de données, il est plus utile de savoir si la restauration entraîne des frais supplémentaires, si un délai de réponse est garanti et quelles conditions limitent les objectifs de restauration que de voir simplement la mention « sauvegarde gratuite ».

Enfin, vérifiez l’étendue et le coût de l’exportation des données à l’expiration du service ou lors d’un changement de système. La possibilité d’exporter le contenu des pages ne garantit pas que les commandes, les demandes de renseignements, les images et les journaux historiques pourront également être récupérés dans un format exploitable. Définir à l’avance les droits d’exportation et la durée de l’assistance permet d’éviter que les frais de sécurité et de migration ne se concentrent au moment du renouvellement.