Le site web doit-il obligatoirement obtenir la certification de cybersécurité de niveau 2 ?

De nombreuses entreprises se demandent : le niveau 2 de la protection de sécurité des informations est-il obligatoire pour un site web ? En réalité, la nécessité de cette démarche dépend de la nature du site, du type de données traité et des exigences réglementaires. Il est essentiel de clarifier le champ d’application afin d’éviter les risques de non-conformité et les dépenses de sécurité inutiles.

Pour les entreprises qui développent leur site officiel, modernisent un site web marketing ou déploient un site indépendant destiné aux marchés internationaux, cette question ne concerne pas uniquement la sécurité. Elle touche également le calendrier de mise en ligne, la planification budgétaire, la confiance des clients et les résultats des campagnes de promotion ultérieures. Pour les entreprises B2B exportatrices, les entreprises développant leur marque à l’international et les sites devant gérer des demandes de renseignements, des formulaires ou des inscriptions de membres, une mauvaise évaluation des exigences de conformité peut, dans le meilleur des cas, entraîner des coûts supplémentaires de mise en conformité et, dans le pire des cas, affecter les campagnes commerciales et la signature de partenariats.

Dans le cadre d’une approche intégrée associant site web et services marketing, la sécurité du site n’est pas un élément indépendant. Elle est souvent directement liée à plus de 6 aspects, notamment le déploiement des serveurs, la collecte de données, les systèmes de formulaires, l’indexation SEO, la validation des pages de destination publicitaires et la stabilité des accès depuis l’étranger. Pour déterminer si le niveau 2 de la protection de sécurité est obligatoire, l’entreprise ne doit pas simplement suivre la tendance, mais d’abord vérifier à quelle catégorie de système appartient le site, quelles données il traite et quels utilisateurs il sert.

Dans quels cas un site web peut-il devoir appliquer le niveau 2 de protection ?

Commençons par la conclusion : tous les sites web ne sont pas obligés d’appliquer le niveau 2 de protection. Toutefois, dès lors qu’un site fournit des services d’information au public, permet des interactions avec les utilisateurs, traite des données commerciales ou est connecté à un système d’administration en arrière-plan, il convient de procéder rapidement à une évaluation de son niveau de protection. De nombreuses entreprises pensent à tort qu’un « site officiel classique n’est pas concerné ». En réalité, dès qu’il existe une inscription d’utilisateur, des messages, des commandes, des demandes de renseignements, un espace membre, une interface de paiement ou une gestion des données clients, le site n’est plus une simple page de présentation.

Quels sites sont principalement concernés par le niveau 2 de protection ?

En règle générale, les systèmes d’information fournissant des services au grand public, mais dont la compromission n’entraînerait pas directement de conséquences particulièrement graves pour la société, relèvent souvent du niveau 2 de protection. Les cas typiques comprennent les interfaces d’administration de sites officiels d’entreprise, les sites marketing, les plateformes réservées aux membres, les sites de franchise et de recrutement de distributeurs, les interfaces d’administration de boutiques transfrontalières, les portails de distributeurs ainsi que les systèmes de sites web capables de transmettre des données vers un CRM.

4 catégories d’entreprises à examiner en priorité

• Les sites dotés de formulaires en ligne, de systèmes de demandes de renseignements ou de fonctions de conservation des données clients ;
• Les sites disposant d’un espace d’administration pour les employés, d’un système de gestion de contenu, d’une gestion des commandes ou de comptes avec différents niveaux d’autorisation ;
• Les sites intégrant des interfaces API, des interfaces de paiement ou des interfaces d’envoi de notifications par SMS et par e-mail ;
• Les sites ou plateformes d’entreprises soumis à une réglementation sectorielle, à une coopération avec les pouvoirs publics ou à des exigences en matière d’appels d’offres.

Si le site d’une entreprise ne reçoit chaque jour que 10 à 20 visites, présente uniquement les informations de l’entreprise et des images de produits, et ne conserve aucune donnée interactive, l’application immédiate du niveau 2 de protection n’est généralement pas forcément obligatoire. En revanche, si le site reçoit plus de 50 demandes de renseignements par mois et que l’interface d’administration conserve les coordonnées des clients, les historiques de devis et les besoins d’achat, il convient au minimum de réaliser une évaluation de conformité et de ne pas le traiter simplement comme un « site de présentation ».

Le tableau ci-dessous peut servir de référence pour effectuer une première évaluation rapide.

Ce tableau montre que la réponse à la question de savoir si le niveau 2 de protection est obligatoire dépend souvent de deux éléments : « le site contient-il des données ? » et « ces données peuvent-elles avoir un impact sur l’activité ? ». Si le prestataire de création du site se contente de livrer les pages front-end sans s’intéresser à l’architecture de sécurité, au contrôle des accès, à la conservation des journaux et à la correction des vulnérabilités, les coûts de mise en conformité ultérieure augmentent généralement de 20 % à 40 %.

Pourquoi les sites marketing doivent-ils accorder davantage d’importance à la sécurité et à la conformité ?

De nombreuses entreprises considèrent leur site comme un outil d’acquisition de clients, mais oublient qu’il s’agit avant tout d’un système d’information ouvert sur l’extérieur. Lorsqu’un site marketing est infecté, altéré ou victime d’une fuite de données, les conséquences ne sont pas seulement techniques : elles peuvent également affecter la validation des campagnes publicitaires, la stabilité de l’indexation dans les moteurs de recherche, le taux de conversion des prospects et la confiance dans la marque. Pour les entreprises qui dépendent du référencement Google, de Google Ads ou de l’acquisition via les réseaux sociaux, ces pertes sont souvent récurrentes.

Comment les problèmes de sécurité affectent-ils les résultats des campagnes ?

Premièrement, les moteurs de recherche réduisent la confiance accordée aux sites contenant du code malveillant, des redirections anormales ou des certificats expirés et peuvent, dans les cas graves, afficher un avertissement de sécurité. Deuxièmement, les plateformes publicitaires accordent une importance croissante à la sécurité des pages de destination. Si un site est bloqué ou présente des redirections anormales, l’efficacité des campagnes du compte diminue sensiblement. Troisièmement, si un avertissement de sécurité s’affiche dans le navigateur lorsqu’un utilisateur soumet un formulaire, le taux de conversion peut connaître des fluctuations importantes dans les 7 jours.

5 faiblesses de sécurité courantes des sites marketing

1. Mots de passe faibles pour l’administration et utilisation d’un même compte par plusieurs administrateurs ;
2. Versions des plug-ins, thèmes et scripts non mises à jour pendant de longues périodes ;
3. Transmission des données des formulaires en clair ou absence de contrôle des autorisations ;
4. Absence de conservation des journaux du serveur, rendant difficile la traçabilité des comportements anormaux ;
5. Exposition directe de l’environnement de test sur Internet, créant une porte d’entrée pour les attaques.

Pour les entreprises qui prévoient de créer un site indépendant destiné aux marchés étrangers, un site officiel multilingue ou un site de demandes de renseignements B2B, il est préférable de concevoir la sécurité dès la phase de création du site, plutôt que d’attendre 3 mois après sa mise en ligne. Plus le projet avance, plus les ajustements concernant la structure de la base de données, le système d’autorisations, la stratégie des interfaces et la migration des contenus sont nombreux ; la durée de mise en œuvre peut ainsi passer de 1 à 2 semaines à 4 à 8 semaines.

Comment une entreprise peut-elle déterminer si elle est « obligée » de le faire ?

Si vous vous demandez encore si le niveau 2 de protection est obligatoire pour la sécurité de votre site, vous pouvez effectuer une évaluation rapide à partir de « 3 dimensions + 1 conclusion » : le site fournit-il des services continus au public, traite-t-il des données utilisateurs et fait-il l’objet d’exigences de la part de partenaires ou d’autorités de contrôle ? Si au moins 2 de ces 3 critères sont remplis, l’entreprise ne doit plus considérer cette démarche comme facultative, mais intégrer rapidement un processus d’évaluation et de mise en conformité.

6 questions d’auto-évaluation recommandées aux entreprises

Premièrement, le site dispose-t-il d’un système de comptes et d’une gestion hiérarchisée des autorisations d’administration ? Deuxièmement, conserve-t-il des informations telles que les noms, numéros de téléphone, adresses e-mail et adresses des clients ? Troisièmement, est-il connecté à un système de paiement, un ERP, un CRM ou une API tierce ? Quatrièmement, sert-il des distributeurs, des membres ou des utilisateurs situés dans plusieurs régions ? Cinquièmement, l’entreprise participe-t-elle à des projets avec des organismes publics ou gouvernementaux ? Sixièmement, des connexions anormales, des modifications de pages ou des pertes de données se sont-elles déjà produites ?

Le tableau ci-dessous est mieux adapté à une prise de décision commune entre les équipes achats, techniques et opérationnelles, afin d’éviter une évaluation limitée à un seul service.

Si plus de 2 caractéristiques à haut risque apparaissent dans le tableau, cela indique généralement que l’entreprise doit au moins planifier son système selon les principes du niveau 2 de protection. Même si la classification définitive doit encore être déterminée par un organisme professionnel, l’entreprise doit d’abord réaliser ces 5 opérations fondamentales : inventorier les actifs, rechercher les vulnérabilités, restreindre les autorisations, conserver les journaux et mettre en place une stratégie de sauvegarde.

De la création du site à sa promotion : comment intégrer en amont les exigences de sécurité au projet ?

Dans un projet intégré associant site web et services marketing, la meilleure approche n’est pas de « mettre le site en ligne avant de procéder aux corrections », mais de faire de la sécurité l’un des critères de livraison. Cela permet non seulement de réduire les reprises, mais aussi d’assurer une plus grande stabilité du site lors de son évolution en matière de SEO, de campagnes publicitaires et d’extension multilingue. Pour les entreprises de taille moyenne, il est recommandé de définir, avant le lancement du projet, au moins 4 catégories de critères de réception : sécurité des accès, autorisations des comptes, sauvegarde des données et surveillance de l’exploitation.

Étapes de mise en œuvre d’un projet intégré

Le processus de mise en œuvre courant comprend 5 étapes

1. Analyse des besoins : préciser le type de site, les marchés cibles et les flux de données ; cette étape nécessite généralement 1 à 3 jours ouvrés ;
2. Planification de l’architecture : définir les stratégies relatives aux serveurs, aux autorisations, aux certificats, aux formulaires et aux interfaces ; cette étape nécessite généralement 3 à 5 jours ouvrés ;
3. Création et mise en conformité : réaliser le déploiement front-end et back-end, le renforcement de la sécurité ainsi que la configuration des journaux et des sauvegardes ; cette étape nécessite généralement 7 à 15 jours ;
4. Tests et réception : effectuer les tests fonctionnels, l’analyse des vulnérabilités, la surveillance des accès et les exercices de traitement des anomalies ;
5. Mise en ligne et exploitation : effectuer une inspection hebdomadaire, une sauvegarde mensuelle et un réexamen trimestriel des éléments à haut risque.

Une plateforme comme 易营宝, qui fournit des services de création intelligente de sites, d’optimisation SEO, de diffusion publicitaire et de marketing numérique à l’international, est mieux à même de faire progresser simultanément les objectifs « site exploitable pour la promotion, indexable et capable de convertir » et « sécurité contrôlable, structure conforme et maintenance durable ». L’entreprise n’a ainsi pas besoin de coordonner séparément un prestataire de création de site, un prestataire de promotion et un prestataire d’exploitation : elle peut gérer les contenus, la technologie, le trafic et la sécurité dans le cadre d’un seul projet.

3 erreurs fréquentes des entreprises

• Erreur n° 1 : penser que l’achat d’un certificat SSL suffit à garantir la sécurité et la conformité, alors que le certificat n’est qu’un élément de base parmi d’autres ;
• Erreur n° 2 : penser qu’un site destiné à l’étranger n’a pas à tenir compte du niveau de sécurité parce qu’il ne s’adresse pas au marché national ; en réalité, il faut toujours examiner le mode de déploiement du système et le traitement des données ;
• Erreur n° 3 : attendre une demande d’audit d’un client pour agir, ce qui réduit souvent le délai de mise en ligne et augmente le coût des transformations techniques.

Pour revenir à la question initiale : le niveau 2 de protection de sécurité est-il obligatoire pour un site web ? Pour un site purement informatif sans interaction avec des données, il n’est pas forcément obligatoire de l’appliquer immédiatement. En revanche, pour un site officiel marketing, une boutique transfrontalière, une plateforme réservée aux membres ou un site indépendant de demandes de renseignements, il est généralement plus rentable de planifier rapidement le projet selon les principes du niveau 2 que de procéder à une mise en conformité ultérieure. Cette approche favorise également une croissance stable de l’activité.

Si votre entreprise se prépare à créer son site officiel, à moderniser un site marketing ou à développer un site indépendant multilingue, il est recommandé d’évaluer simultanément la conformité en matière de sécurité, l’adaptation aux actions promotionnelles et la gouvernance des données dès la phase de lancement du projet. 易营宝 peut combiner la création intelligente de sites, le SEO, la diffusion publicitaire et les exigences de sécurité des sites web afin d’aider les entreprises à clarifier le champ d’application, à définir une feuille de route de mise en œuvre et à améliorer l’efficacité de leur acquisition de clients. Si vous souhaitez déterminer plus précisément si votre site doit être planifié selon les principes du niveau 2 de protection, contactez-nous dès maintenant pour obtenir une solution personnalisée et des recommandations de mise en œuvre.