Cybersécurité
Certains liens de cette page sont des liens d'affiliation : nous pouvons toucher une commission, sans surcoût pour vous. En savoir plus
La cybersécurité n’est pas un produit que l’on achète une fois : c’est un ensemble de bons réflexes et de règles qui restent en place dans le temps. Pour une PME, l’essentiel ne se joue pas dans des outils sophistiqués mais dans les bases : accès contrôlés, systèmes à jour, sauvegardes testées et une équipe qui reconnaît une tentative de fraude.
Les trois vecteurs d’attaque les plus fréquents
Le premier est le site web exposé : logiciel non mis à jour, page d’administration ouverte, extension malveillante. Le second est la messagerie : hameçonnage, fausse facture d’un fournisseur, faux support technique. Le troisième est l’accès compromis : mot de passe réutilisé, compte ancien d’un prestataire encore actif, absence d’authentification à deux facteurs.
Dans la majorité des cas, un incident coûte plus cher que sa prévention : site hors ligne pendant des jours, confiance perdue, perte de données clients, obligations légales.
Les étapes à faire dès maintenant
- Activez l’authentification à deux facteurs sur tous les comptes professionnels.
- Confirmez que les sauvegardes existent, sont sur un support distinct et ont été restaurées au moins une fois.
- Inventoriez les accès et retirez ceux qui n’ont plus de raison d’être.
- Formez l’équipe : une personne qui repère un mail suspect fait plus pour la sécurité que bien des outils.
Le point de départ
Un diagnostic de sécurité donne la photographie de votre exposition et une liste d’actions classées par risque. C’est souvent le seul livrable nécessaire pour une PME, tant que les correctifs de base sont mis en œuvre et que la surveillance reste en place. translations: en: “cybersecurite”
Quand en avez-vous besoin ?
- Votre site ou votre boutique en ligne a déjà subi une attaque, une tentative de fraude ou une fuite de données
- Vous traitez des données clients (identité, paiement, santé) et devez respecter la loi 09-08 sur la protection des données
- Votre équipe utilise des outils en ligne (messagerie, ERP, e-commerce) sans règles claires d'accès
- Vous vous préparez à un appel d'offres ou à un partenariat qui exige des garanties de sécurité
- Vous n'avez ni sauvegarde testée ni plan en cas d'incident
Comment ça se passe
- Inventaire des actifs et des accès — Lister les sites, applications, serveurs, comptes et outils qui contiennent des données ou commandent votre activité. Identifier qui y accède et avec quels droits. Beaucoup d'incidents viennent d'un compte oublié ou d'un ancien prestataire encore actif.
- Diagnostic et tests de vulnérabilité — Vérifier la configuration serveur et réseau, les logiciels à jour, les mots de passe et l'authentification à deux facteurs, les erreurs d'application, l'exposition des fichiers et la sécurité du paiement. Un test d'intrusion complémentaire peut être nécessaire pour un site critique.
- Remédiation priorisée — Corriger d'abord ce qui permet une intrusion (accès ouverts, logiciels obsolètes, pages d'administration exposées), puis renforcer la surveillance. Chaque correction est documentée avec son niveau de risque.
- Sauvegardes, surveillance et plan d'incident — Mettre en place des sauvegardes automatiques testées, une surveillance des connexions et des erreurs, et une procédure simple : qui prévenir, comment isoler le problème, comment communiquer aux clients et aux autorités.
- Sensibilisation des équipes — Former les collaboratrices et collaborateurs aux attaques les plus courantes (hameçonnage, fausse facture, faux support technique) et aux bons réflexes. La majorité des intrusions commencent par un mail ou un lien.
Combien ça coûte
| Prestation | Prix indicatif | À savoir |
|---|---|---|
| Diagnostic de sécurité (site, serveur, comptes) | 8 000 – 30 000 MAD (≈ 730 – 2 700 €) | Rapport priorisé sur les vulnérabilités et les accès |
| Test d'intrusion (pentest) d'une application web | 20 000 – 80 000 MAD (≈ 1 800 – 7 300 €) | Recommandé pour un site de paiement ou des données sensibles |
| Mise en conformité loi 09-08 | 10 000 – 40 000 MAD (≈ 900 – 3 600 €) | Registre des traitements, consentement, sécurité des données |
| Suivi et surveillance mensuels | 3 000 – 15 000 MAD / mois (≈ 270 – 1 400 €) | Mises à jour, alertes, revue des accès |
| Sécurisation d'un site WordPress ou d'une boutique | 4 000 – 20 000 MAD (≈ 360 – 1 800 €) | Pare-feu applicatif, durcissement, sauvegardes autonomes |
| Réponse à incident (site piraté, données exposées) | 15 000 – 60 000 MAD (≈ 1 400 – 5 500 €) | Diagnostic, nettoyage, restauration et rapport |
Fourchettes indicatives pour le marché marocain en 2026, hors taxes. Les tarifs varient selon le périmètre et le prestataire.
Outils recommandés
Les outils que nous recommandons le plus souvent pour ce type de projet.
Cloudflare
Pare-feu applicatif, protection anti-DDoS et filtrage du trafic
Bitwarden
Gestionnaire de mots de passe partagé, avec mots de passe forts et uniques
Have I Been Pwned
Vérifier si des comptes professionnels apparaissent dans des fuites de données
OWASP ZAP
Analyse des vulnérabilités d'une application web, gratuit et open source
UptimeRobot
Surveiller la disponibilité du site et être alerté d'une coupure
Erreurs à éviter
- Réutiliser le même mot de passe sur plusieurs services : une seule fuite donne accès à tout
- Ne pas activer l'authentification à deux facteurs sur la messagerie professionnelle, première cible des pirates
- Réserver les sauvegardes au même serveur que le site : une attaque efface à la fois les données et les copies
- Ignorer les mises à jour « en attendant » : la plupart des intrusions exploitent des logiciels avec des correctifs disponibles depuis des mois
- Réagir sans plan en cas d'incident : prévenir les clients trop tard, ou au contraire effacer des preuves utiles
Questions fréquentes
Une PME marocaine est-elle vraiment une cible ?
Oui. Les attaques sont souvent automatisées et ne visent pas une entreprise en particulier : elles scannent internet à la recherche de sites mal protégés. Une boutique ou un site e-mail compromis est revendu ou utilisé pour du hameçonnage.
Que dit la loi 09-08 sur la sécurité des données ?
La loi marocaine impose de protéger les données personnelles contre l'accès non autorisé, la perte et l'altération, et d'informer les personnes concernées en cas de fuite. Elle demande aussi de déclarer les traitements à la CNDP. Une prestation de mise en conformité aide à s'y retrouver.
Combien coûte la cybersécurité pour une PME ?
Comptez 8 000 à 30 000 MAD pour un diagnostic initial, puis 3 000 à 15 000 MAD par mois pour les mises à jour, la surveillance et le suivi des accès. Beaucoup de gains sont aussi gratuits : mots de passe uniques, authentification à deux facteurs, mises à jour régulières.
Comment savoir si mon site a été piraté ?
Signes fréquents : pages ou liens inconnus, redirections vers des sites douteux, affichage lent, recherches Google qui affichent un avertissement, alertes de la Search Console, mails clients demandant d'où vient le message. Un diagnostic doit être lancé sans attendre.
Faut-il tester l'intrusion de son propre site ?
Un test d'intrusion est utile pour un site de paiement, une application métier ou une plateforme qui stocke des données sensibles. Pour un site vitrine, un diagnostic de sécurité complet suffit généralement.
Mis à jour le