J'ai trouvé une faille sur un site : que faire, et surtout que ne pas faire
Le réflexe naturel — vérifier que ça marche vraiment — est précisément celui qui vous met en tort. Voici la marche à suivre, du premier constat au signalement.
Sommaire
Cela commence rarement par une intrusion. Cela commence par un numéro à la fin d’une adresse, que l’on modifie sans y penser — et la facture d’un autre client s’affiche. Ou par un fichier de sauvegarde laissé à la racine d’un site. Ou par un message d’erreur qui recrache la requête envoyée à la base de données, identifiants compris.
La plupart des failles sont découvertes par des gens qui ne cherchaient rien. Et ces gens se retrouvent, en quelques secondes, devant une question à laquelle personne ne les a préparés : qu’est-ce que je fais maintenant ?
La réponse courte : vous vous arrêtez, vous notez, vous prévenez. Dans cet ordre. Le reste de cet article explique pourquoi chacun de ces trois gestes compte, et pourquoi le réflexe le plus naturel — celui de vérifier — est précisément celui qui vous met en tort.
Le premier réflexe est le mauvais
Vous venez de voir quelque chose que vous ne devriez pas voir. Ce que votre cerveau réclame immédiatement, c’est une confirmation : incrémenter encore une fois le numéro, ouvrir un deuxième fichier, télécharger le document « pour avoir une preuve ».
C’est là que le droit bascule.
L’article 323-1 du code pénal — hérité de la loi Godfrain de 1988 — punit de trois ans d’emprisonnement et 100 000 euros d’amende le fait « d’accéder ou de se maintenir frauduleusement » dans un système de traitement automatisé de données. Les peines montent à cinq ans et 150 000 euros si l’accès entraîne la suppression ou la modification de données.
Le mot important est « se maintenir ». C’est une infraction distincte de l’intrusion, et c’est celle qui piège les personnes de bonne foi. Vous êtes arrivé là par accident : il n’y a pas d’accès frauduleux. Mais à la seconde où vous comprenez que vous consultez des données qui ne vous sont pas destinées, rester devient un choix — et ce choix est qualifiable.
La jurisprudence française est explicite sur ce point. Dans l’affaire dite « Bluetouff », un journaliste avait trouvé, via une simple recherche Google, des milliers de documents internes d’une agence sanitaire laissés accessibles par un extranet mal configuré. Relaxé en première instance, il a été condamné en appel à 3 000 euros d’amende pour maintien frauduleux et vol de fichiers informatiques — condamnation confirmée par la Cour de cassation le 20 mai 2015. Le fait que Google ait lui-même indexé ces documents n’a pas suffi à écarter l’infraction.
Autrement dit : la porte ouverte n’est pas une invitation à entrer. Elle est un motif pour prévenir le propriétaire.
La règle tient en une phrase : on s’arrête à la première preuve. Pas la deuxième.
Concrètement, cela veut dire : ne pas tester avec un autre identifiant pour « mesurer l’ampleur », ne pas télécharger, ne pas essayer sur un compte voisin, ne pas lancer d’outil d’analyse automatisée. Chacun de ces gestes est parfaitement défendable dans une intention louable, et parfaitement indéfendable devant un juge.
Ce qu’il faut noter avant de fermer l’onglet
Un signalement utile tient en une page. Il ne demande aucun travail supplémentaire, seulement de l’attention pendant deux minutes.
- L’adresse exacte de la page concernée, telle qu’elle apparaît dans le navigateur.
- La date et l’heure de la découverte, avec le fuseau horaire. C’est ce qui permettra à l’équipe technique de retrouver la trace dans ses journaux.
- Ce que vous faisiez au moment où c’est arrivé. Un parcours d’utilisateur ordinaire est votre meilleur argument.
- Ce que vous avez vu, décrit et non recopié. « Une facture au nom d’un autre client, avec son adresse postale » suffit largement ; le contenu de la facture, non.
- Éventuellement une capture d’écran, recadrée sur la structure de la page et non sur les données, avec les informations personnelles masquées.
Et surtout, la contrepartie : ne conservez rien. Si vous avez téléchargé un fichier par réflexe avant de réfléchir, supprimez-le — et dites-le dans votre signalement. Reconnaître un geste réflexe et l’avoir corrigé vous place du bon côté ; garder le fichier « au cas où » vous en fait sortir.
À qui écrire, dans quel ordre
1. Vérifier si l’organisation a prévu un canal
Avant tout, essayez cette adresse : https://lesite.fr/.well-known/security.txt.
C’est un standard, décrit par la RFC 9116, qui répond exactement à votre question. Le fichier contient une adresse de contact pour les questions de sécurité, souvent un lien vers une politique de divulgation précisant ce qui est autorisé, parfois une clé de chiffrement. Quand il existe, c’est une invitation écrite à signaler — donc la meilleure preuve possible de votre bonne foi. Suivez à la lettre ce qui y est indiqué.
Le problème, c’est qu’il reste rare : à l’échelle de l’Union européenne, la très grande majorité des sites n’expose aucun canal normalisé de signalement. Dans le doute, regardez aussi s’il existe une page « sécurité » sur le site, ou un programme public sur une plateforme comme YesWeHack, HackerOne ou Intigriti.
2. Écrire directement à l’organisation
Sans canal dédié, cherchez le délégué à la protection des données : son adresse figure presque toujours dans la politique de confidentialité, et cette personne a l’habitude des sujets sensibles. À défaut, le contact générique du site, avec une mention explicite demandant la transmission au responsable technique.
Écrivez sobrement. Le ton compte plus qu’on ne le croit — nous y revenons plus bas.
3. Passer par l’ANSSI si personne ne répond
C’est le point que presque personne ne connaît, et c’est pourtant le plus protecteur.
L’article L. 2321-4 du code de la défense, issu de la loi pour une République numérique de 2016, prévoit qu’une personne de bonne foi peut transmettre à l’autorité nationale de sécurité des systèmes d’information une information sur l’existence d’une vulnérabilité affectant un système de traitement automatisé de données. Et surtout : l’autorité préserve la confidentialité de l’identité de la personne à l’origine de la transmission, ainsi que des conditions dans lesquelles elle a été effectuée.
En pratique, cela passe par le CERT-FR, le centre de veille de l’ANSSI, joignable à l’adresse [email protected] — la marche à suivre est décrite sur son site. Il qualifie le signalement et le relaie lui-même à l’entité concernée. Un message venant de l’ANSSI ouvre des portes qu’un courriel de particulier n’ouvre jamais.
Une précision indispensable, parce qu’elle est souvent mal comprise : cette protection porte sur le fait de signaler, pas sur la façon dont vous avez obtenu l’information. Vous êtes protégé pour avoir parlé, pas pour avoir creusé. Le texte ne transforme pas une recherche non autorisée en démarche légale.
4. Rester anonyme de bout en bout
Si vous préférez ne laisser aucune trace, la plateforme ZeroDisclo, opérée par la société française YesWeHack, a été conçue pour cela : pas de compte à créer, chiffrement automatique du contenu avec la clé publique du CERT destinataire, et accès possible via le réseau Tor. Le signalement arrive, vous n’apparaissez pas.
5. Le cas particulier des données personnelles
Si la faille expose des données personnelles — noms, adresses, documents d’identité, données de santé —, la notification à la CNIL sous 72 heures est une obligation qui pèse sur l’entreprise responsable du traitement, pas sur vous. Votre rôle s’arrête à l’alerter.
La CNIL peut être saisie par un tiers, et c’est un levier réel si l’organisation ignore votre signalement. Mais ce n’est pas la première marche : prévenez l’entreprise d’abord, laissez-lui la possibilité de faire correctement les choses.
Le message : ce qu’on écrit, ce qu’on n’écrit pas
Un bon signalement est court, factuel, et ne demande rien. Il contient :
- ce que vous avez constaté, en une phrase ;
- comment vous y êtes arrivé, sans jargon ;
- ce que vous avez cessé de faire dès que vous avez compris ;
- ce que vous n’avez pas fait : rien téléchargé, rien conservé, rien diffusé ;
- votre disponibilité pour préciser si besoin.
Objet suggéré : « Signalement d’une vulnérabilité — [nom du site] ». Pas de point d’exclamation, pas de majuscules, pas d’urgence dramatisée : le destinataire doit pouvoir transférer votre message à son équipe technique sans avoir à le retraduire.
Ce qu’on n’écrit pas, en revanche : aucune menace de publication, aucun ultimatum, aucune facture, aucune proposition commerciale déguisée. « Je peux auditer le reste de votre site pour 2 000 euros » transforme instantanément un service rendu en démarchage suspect — et, si le ton se durcit, en tout autre chose.
Les quatre gestes qui transforment un signalement en infraction
- Demander de l’argent. Réclamer une somme non prévue par un programme, surtout en la liant à une menace de publication, relève de l’extorsion : sept ans d’emprisonnement et 100 000 euros d’amende (article 312-1 du code pénal). S’il n’existe pas de programme de récompense, il n’y a pas de récompense — c’est aussi simple que cela.
- Continuer à explorer pour « mesurer l’impact ». C’est l’argument le plus fréquent et le moins solide. La mesure de l’impact est le travail de l’entreprise, pas le vôtre.
- Conserver ou transmettre les données. Un fichier gardé sur votre disque n’est plus une preuve, c’est une pièce à conviction contre vous. Le transmettre à un tiers, même à un journaliste, ajoute une couche de risque.
- Publier avant correction. Diffuser les moyens de reproduire une faille encore ouverte ne rend service à personne, sinon à celui qui l’exploitera. La divulgation coordonnée consiste précisément à publier après, ou pas du tout.
Et si personne ne répond ?
Cela arrive souvent, et rarement par mauvaise volonté : le message est simplement tombé dans une boîte générique que personne ne relève.
Relancez une fois, sous une quinzaine de jours, en restant courtois. Puis passez au CERT-FR. C’est exactement la situation pour laquelle le dispositif existe.
Vous entendrez parler d’un délai de 90 jours avant publication : c’est une coutume issue des équipes de recherche internationales, pas une règle de droit française. Elle ne vous autorise rien, et surtout pas à publier un mode d’emploi une fois le délai écoulé. Si vous tenez à rendre l’affaire publique, faites-le après correction, et décrivez le problème sans donner les moyens de le rejouer.
Le bug bounty : ce que ça change vraiment
On confond souvent le signalement fortuit et le bug bounty. Ce sont deux choses différentes, et la distinction est juridique avant d’être technique.
Un programme de bug bounty est un cadre contractuel établi à l’avance : l’organisation publie un périmètre (ce qui peut être testé, ce qui est interdit), des règles de conduite, une clause de non-poursuite pour qui les respecte, et un barème de récompenses. Les plateformes — YesWeHack, société parisienne devenue la référence européenne, mais aussi HackerOne, Bugcrowd ou Intigriti — n’hébergent que des programmes assortis de ces engagements.
Ce que cela change tient en trois mots : autorisation, périmètre, protection. Chercher une faille sur un système listé dans un programme n’est pas un accès frauduleux, parce que le propriétaire a donné son accord par écrit. Chercher la même faille sur le même système hors programme reste une infraction.
C’est pourquoi le bug bounty n’est pas la réponse à la question de cet article : quand vous tombez par hasard sur une faille, il n’y a pas de programme, donc pas d’autorisation, donc une seule conduite tenable — s’arrêter et prévenir.
En revanche, si vous êtes du côté de l’entreprise, il existe une marche plus basse et beaucoup plus accessible : le programme de divulgation de vulnérabilités, sans récompense. Vous publiez une page et un security.txt disant « voici comment nous prévenir, voici ce que nous nous engageons à faire ». Cela ne coûte rien d’autre que la volonté de traiter ce qui arrivera.
Si c’est votre entreprise qui reçoit le signalement
Renversons la perspective, parce que c’est l’autre moitié du sujet — et la moins préparée des deux.
Un inconnu vous écrit qu’il a trouvé une faille sur votre site. La tentation, très humaine, est de voir une menace là où il y a un service rendu — et de faire répondre un avocat. C’est la seule réponse dont on soit certain qu’elle ne règle rien : la faille reste ouverte, la personne se taira la prochaine fois, et l’histoire finira publique de toute façon, avec votre mise en demeure en pièce jointe.
La bonne séquence est banale :
- Accuser réception sous 48 heures, même sans avoir encore compris le problème.
- Remercier, explicitement. Cela ne vous engage à rien et change tout.
- Désigner une personne responsable du suivi, avec une date.
- Corriger, puis le dire à la personne qui a signalé.
- Si des données personnelles ont été exposées, notifier la CNIL sous 72 heures et, selon la gravité, informer les personnes concernées.
Et en amont, la mesure la moins coûteuse de toutes : publier un fichier security.txt. Une dizaine de lignes, dix minutes de travail, et vous cessez d’être une organisation qu’on ne sait pas comment prévenir.
Ce sujet cesse par ailleurs d’être une question de bonne volonté. Depuis la loi de programmation militaire de 2023, l’article L. 2321-4-1 du code de la défense impose déjà aux éditeurs de logiciels de notifier à l’ANSSI les vulnérabilités significatives affectant leurs produits, selon des modalités précisées par un décret de mai 2024. Et le règlement européen sur la cyberrésilience (le Cyber Resilience Act, règlement (UE) 2024/2847) enclenche ses obligations de signalement au 11 septembre 2026 : tout fabricant d’un produit comportant des éléments numériques vendu dans l’Union devra alerter l’ENISA et son centre national de réponse aux incidents sous 24 heures dès qu’il a connaissance d’une vulnérabilité activement exploitée, avec une notification complète sous 72 heures et un rapport final sous 14 jours.
Si vous éditez un logiciel, un objet connecté ou une application vendue en marque blanche, savoir recevoir un signalement n’est plus une question de savoir-vivre : c’est une obligation dont le calendrier a déjà commencé.
Ce qu’il faut retenir
Vous avez trouvé une faille par hasard. Vous ne l’avez pas cherchée, vous n’avez rien forcé, et vous avez raison de vouloir prévenir. Le seul risque réel, dans cette histoire, est celui que vous créez vous-même en voulant bien faire.
Alors : arrêtez-vous à la première preuve. Notez l’adresse, l’heure et le contexte, sans conserver de données. Cherchez un security.txt, écrivez sobrement au bon interlocuteur, et si le silence dure, passez par le CERT-FR — qui protégera votre identité. Ne demandez rien, ne publiez rien, ne gardez rien.
Et si vous êtes de l’autre côté : la question n’est pas de savoir si quelqu’un trouvera un jour quelque chose sur votre site, mais s’il saura à qui l’écrire — et ce que vous en ferez. C’est le prolongement direct de ce que nous décrivions à propos de la surface d’attaque d’un site : réduire ce qui est exposé, oui, mais aussi organiser ce qui se passe quand une porte reste malgré tout entrouverte.
Sur les obligations qui encadrent désormais ces sujets, deux lectures complémentaires : le minimum RGPD réellement obligatoire pour une TPE et pourquoi NIS2 concerne votre PME même en sous-traitance.
Retrouvez nos articles en priorité dans vos résultats Google en nous ajoutant à vos sources préférées.
Ajouter aux sources préféréesQuestions fréquentes
Est-ce légal de signaler une faille de sécurité en France ?
Signaler, oui. L'article L. 2321-4 du code de la défense protège explicitement la personne de bonne foi qui transmet à l'ANSSI une information sur l'existence d'une vulnérabilité : l'autorité préserve la confidentialité de son identité et des conditions de la transmission. En revanche, cette protection porte sur le signalement, pas sur la manière dont l'information a été obtenue. Chercher activement une faille sur un système qui ne vous appartient pas reste, en dehors d'un cadre autorisé, un accès frauduleux.
Que risque-t-on si on explore un peu plus loin pour vérifier ?
C'est le geste le plus coûteux, parce qu'il crée une infraction là où il n'y en avait pas. L'article 323-1 du code pénal punit de trois ans d'emprisonnement et 100 000 euros d'amende le fait d'accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données — cinq ans et 150 000 euros si des données sont supprimées ou modifiées. Le maintien est une infraction distincte de l'intrusion : être arrivé là par hasard ne protège plus une fois que l'on a compris où l'on se trouvait.
À qui faut-il écrire en premier ?
Dans l'ordre : au canal que l'organisation a elle-même prévu (un fichier security.txt à la racine du site, une page dédiée, un programme de divulgation sur une plateforme), puis à défaut au délégué à la protection des données ou au contact générique, puis au CERT-FR si personne ne répond ou si vous préférez ne pas vous exposer. Le canal prévu par l'organisation est toujours le meilleur point d'entrée : c'est une invitation écrite, donc la meilleure preuve de votre bonne foi.
Peut-on signaler une faille de façon anonyme ?
Oui, par deux voies. Le CERT-FR accepte de relayer un signalement à l'entité concernée sans transmettre votre identité, sur la base de l'article L. 2321-4. Et la plateforme ZeroDisclo, opérée par YesWeHack, permet de déposer un signalement sans compte, chiffré avec la clé publique du CERT destinataire et accessible via le réseau Tor.
Peut-on demander une récompense pour avoir trouvé une faille ?
Seulement si un programme la prévoit à l'avance. Hors de ce cadre, réclamer une somme d'argent — surtout adossée à une menace de publication — bascule vers l'extorsion, punie de sept ans d'emprisonnement et 100 000 euros d'amende par l'article 312-1 du code pénal. Un signalement spontané est un service rendu, pas une prestation facturable.
Que faire si l'entreprise ne répond jamais ?
Relancer une fois sous une quinzaine de jours, puis transmettre au CERT-FR, qui qualifiera le signalement et le relaiera lui-même. Un message venant de l'ANSSI ouvre des portes qu'un courriel de particulier n'ouvre pas. La publication reste un dernier recours : elle ne se justifie qu'après correction, et jamais avec les éléments permettant de reproduire l'attaque.
Notre entreprise vient de recevoir un signalement : comment réagir ?
Accuser réception rapidement, remercier, désigner une personne responsable du suivi, corriger, puis informer la personne à l'origine du signalement. La réponse à éviter absolument est la mise en demeure : elle ne fait pas disparaître la faille, elle garantit que le prochain qui la trouvera ne vous préviendra pas. Si des données personnelles ont été exposées, la notification à la CNIL sous 72 heures incombe à l'entreprise, pas au signalant.
