---
title: "Tout le monde peut pirater maintenant"
date: 2026-10-23
language: fr
topics: []
source_url: https://willem.com/fr/2026-10-23_tout-le-monde-peut-pirater-maintenant/
---
# Tout le monde peut pirater maintenant

*Il est temps de prendre ta sécurité au sérieux*

> J'écris rarement sur l'actualité ici. Les incidents du jour ne font pas des articles qui durent. Mais quelque chose a changé cette année en cybersécurité, et ce n'est pas une seule faille. C'est que tout le monde peut pirater maintenant. Donne à un modèle de langage un point faible, ou juste une direction, et il trouve la brèche, et si tu le laisses faire, l'exploit. La question « pourquoi voudraient-ils me pirater ? » n'a plus de sens. Il est temps de passer à la vitesse supérieure !

## L'échelle n'est pas la même cette fois
Cette semaine, une faille critique a touché un langage de programmation sur lequel tourne une grande partie du web. Matthew Prince, le PDG de Cloudflare, [a fait le compte sur X](https://x.com/eastdakota/status/2113079352682570051) (22 octobre 2026) : des milliers de tentatives d'exploitation dans les dix heures avant l'annonce publique, des dizaines de milliers dans les 45 minutes qui ont suivi, des centaines de milliers en deux heures, des millions le lendemain. Jason Clinton, responsable de la sécurité chez Anthropic, [a écrit le même jour](https://x.com/JasonDClinton/status/2113325263157395456) : va voir ton conseil d'administration maintenant et demande de l'aide, pas pour l'IA, pour les bases.

Voici pourquoi je pense que c'est plus qu'une mauvaise semaine. La plupart du code d'internet n'a jamais été lu par une machine qui le comprend. Beaucoup de failles sont restées cachées parce qu'elles sont obscures, abstraites ou mathématiques. Il fallait à un humain un vrai talent de hacker, du temps et un peu de chance pour en trouver une. Un modèle a la patience et la finesse pour tester beaucoup plus de vecteurs d'attaque, sur beaucoup plus de code, que n'importe quelle équipe de personnes. Des bots et des agents passent le web au peigne fin, systématiquement, à une échelle et avec une capacité que nous n'avions jamais vues, et ils s'améliorent chaque mois. Personne n'est plus trop petit pour être trouvé.

![Global AppSec Amsterdam 2019. Je vais moi-même à ces conférences : les hackers, chercheurs et CISO que tu y croises voient les premiers ce qui arrive](https://willem.com/global/images/8d096c9c5a49.webp)

## Passer à la vitesse supérieure
Il n'y a pas de nouvelle astuce. Les bases sont les mêmes depuis vingt ans. Ce qui a changé, c'est le prix à payer quand on les ignore.

- **Reste à jour.** Installe vite les mises à jour de sécurité, automatiquement quand c'est possible. Le délai entre une annonce et l'exploitation massive se compte désormais en minutes, plus en semaines.
- **Fais des sauvegardes.** Hors site, avec rotation et chiffrées. Une seule copie n'est pas une sauvegarde.
- **Teste tes sauvegardes.** Peux-tu vraiment restaurer ? Fais-le, chronomètre-toi, et recommence le trimestre prochain.
- **Réduis ta surface d'attaque.** Moins d'éléments en marche, moins de services publics, moins de pièces que tu ne maîtrises pas. Chaque plugin, chaque compte et chaque service est une porte.
- **Pars du pire.** Et si toutes tes données étaient volées et rendues publiques demain ? Réfléchis-y dès aujourd'hui, et écarte d'avance ce que tu peux. Les données dont tu n'as pas besoin, tu ne les gardes pas.
- **Surveille.** Garde un œil solide et automatisé sur tes logs. Les dégâts dépendent de ton temps de réaction à la première anomalie, pas sur l'attaque elle-même.

![2017 : mon serveur sous le plancher du bureau. Tu peux toujours cacher tes données sous le paillasson... /s. La sécurité par l'obscurité n'est pas, et n'a jamais été, une bonne idée](https://willem.com/global/images/17aa8c676841.webp)

## Les années DigiDef
De 2015 à 2019, j'ai fait ce travail sous son propre nom : DigiDef, un bureau de défense numérique. Audits de sécurité de serveurs, de sites web et d'applis, audits de sauvegardes avant que tu en aies vraiment besoin, revues de code source, et, après coup, enquête pour savoir comment les pirates sont entrés. J'en ai raconté une partie ici : [cinq conseils simples pour protéger ton serveur](https://willem.com/en/2018-03-10_cyber-security-5-easy-tips-to-protect-your-server-against-hackers/), [les risques de sécurité de l'hébergement mutualisé](https://willem.com/en/2019-02-28_understanding-the-security-concerns-in-shared-hosting/), [dix conseils pour WordPress](https://willem.com/en/2019-03-31_wordpress-10-tips-to-secure-your-website/) et, plus tard, [un schéma de rotation des sauvegardes](https://willem.com/en/2023-12-15_backup-rotation-scheme/). digidef.nl est hors ligne aujourd'hui, mais le travail de DigiDef me paraissait si important que j'en ai fait une partie intégrante de tout ce que je fais : des sites web générés à l'avance, sans rien sur le serveur avec lequel un visiteur puisse dialoguer, des serveurs avec le moins de portes ouvertes possible, des logs lus chaque nuit, et des sauvegardes réellement restaurées.

![DigiDef, bureau de conseil en défense numérique, 2015 à 2019](https://willem.com/global/images/e9f42942df27.webp)

## Les mains dans le cambouis
Voilà à quoi cela ressemble dans mon propre travail. Depuis 2016, chaque site web que je construis est généré à l'avance : les pages sont faites une seule fois, sous forme de fichiers, et le serveur ne fait que les distribuer. Il n'y a aucune application derrière la requête d'un visiteur qu'on pourrait manipuler pour lui faire faire ce qu'elle ne devrait pas. Cela rend les sites plus rapides et plus simples, et il reste très peu à attaquer. Moins de pièces mobiles, c'est toute l'idée.

Tous mes serveurs envoient chaque ligne de log au système de logs unifié de la plateforme : environ 1,7 million de signaux par jour, classés par type et comptés à la minute. Chaque matin, une ronde de sécurité les lit, à la recherche de ce qui sort du cadre : des types de lignes jamais vus, des tentatives de devinette de mots de passe sur la messagerie et ssh, des renouvellements échoués, des bannissements, un service qui répond par des erreurs. La même ronde compare chaque hôte à la veille : mises à jour de sécurité en attente, ports ouverts, utilisateurs, clés, tâches cron, et la liste des vulnérabilités connues face à ce qui est réellement installé. Elle ne se manifeste que lorsqu'il faut mettre la main à la pâte.

![Ce matin dans mon appli Contact : la ronde de sécurité a trouvé sept choses qui demandent un coup de main, et l'a dit](https://willem.com/global/images/27809e8f84d4.webp)

Les sauvegardes partent chaque nuit, hors site, par une porte à sens unique : la machine de production décide de ce qui sort, le côté récepteur ne peut pas remonter. Les instantanés sont pris après la copie par un compte distinct, si bien que même un expéditeur compromis ne peut pas effacer l'historique. Ensuite, un contrôle indépendant parcourt le miroir de l'extérieur, compare un échantillon octet par octet et rend un verdict. Il a pris la sauvegarde en flagrant délit de faux feu vert plus d'une fois. De temps en temps, je joue un vrai scénario de reprise après sinistre, comme je l'ai fait pour l'un de mes clients : partir des seules sauvegardes et remettre le service en route ailleurs. La lacune que tu trouves ainsi, ce fichier que la copie nocturne n'a jamais inclus, n'apparaît jamais dans un rapport qui dit seulement OK. Et je reste dans la boucle avec les gens de la Silicon Valley qui construisent ces modèles et s'en défendent ; les deux citations plus haut viennent de cette boucle.

## Un marathon, pas un sprint
Personne n'est à l'abri. Plus tu en sais et plus tu comprends la cybersécurité, plus tu réalises qu'il n'y a pas de solution rapide. C'est un effort de longue haleine, qui ressemble beaucoup plus à un marathon qu'à un sprint. Tu gardes une allure que tu peux tenir, tu regardes la route devant toi, tu répares ce que tu trouves aujourd'hui, et demain tu regardes à nouveau.

![Marathon de Cologne, 4 octobre 2026 : une allure que tu peux tenir](https://willem.com/global/images/1e36ac60ab36.webp)

## Conclusion
La cybersécurité a cessé d'être un risque théorique. Des bots et des agents passent le web au peigne fin, systématiquement, à une échelle qu'aucune équipe humaine ne peut égaler, et ils trouvent ce qui est resté caché pendant des années. La réponse n'est pas un nouveau produit. Ce sont les bases, bien faites et refaites : reste à jour, fais des sauvegardes et teste-les, fais tourner moins d'éléments, pars du pire, et surveille tes logs. Tu ne sais pas trop où sont tes portes ? [Envoie-moi un message](https://willem.com/en/#contact), je fais ça depuis longtemps. Les bots tournent déjà. Mieux vaut lacer tes baskets !