Personne ne vous a choisi
C'est le point de départ, et il change toute la façon de voir le sujet. Un site de commune n'est presque jamais attaqué parce qu'il est celui de votre commune. Il est attaqué parce que des programmes automatiques parcourent en permanence des millions d'adresses, à la recherche d'un site qui présente une faille connue.
Ces robots ne savent pas que vous avez 400 habitants. Ils savent que votre site utilise une version d'un logiciel qui n'a pas été mise à jour depuis dix-huit mois, et que la faille correspondante est documentée publiquement. Le reste est mécanique : quelques secondes suffisent.
C'est pourquoi les petites communes sont particulièrement exposées. Non pas parce qu'elles intéressent quelqu'un, mais parce que leur site est souvent celui que personne ne met à jour : le prestataire a livré le site il y a six ans, le contrat de maintenance n'a jamais existé, et personne n'a la responsabilité de vérifier quoi que ce soit.
Ce qui arrive ensuite
Une fois le site compromis, plusieurs scénarios se produisent, et aucun n'est théorique.
La défiguration. La page d'accueil est remplacée par un message, souvent politique, parfois obscène. Vos habitants le découvrent avant vous, et cela se voit très vite dans une commune où tout le monde se connaît.
Les pages parasites. Plus discret, et plus fréquent : des centaines de pages publicitaires sont ajoutées à votre site, invisibles pour vous mais visibles pour Google. Résultat, le nom de votre commune ressort dans les moteurs de recherche associé à des contenus douteux, et votre référencement s'effondre. Certaines communes mettent des mois à s'en apercevoir.
L'envoi de courriels frauduleux depuis votre nom de domaine. Le plus grave pour la confiance : vos administrés reçoivent un message qui semble venir de la mairie, leur demandant de payer une somme ou de cliquer sur un lien. Certains le font, parce que le message vient réellement de votre adresse.
Le blocage complet. Les collectivités figurent parmi les cibles régulières des rançongiciels. Le site et les fichiers deviennent inaccessibles, et la remise en route se compte en semaines lorsque les sauvegardes n'ont jamais été testées.
Ce que cela implique pour le maire
Au-delà du désagrément, deux conséquences engagent la commune.
La première est la protection des données : si votre site contient des formulaires, des demandes de démarches ou une liste de diffusion, l'incident touche des données personnelles. Une violation de données doit alors être notifiée à la CNIL dans un délai très court, et les personnes concernées doivent être informées lorsque le risque est élevé pour elles. Notre article sur la conformité RGPD du site d'une mairie détaille ces obligations.
La seconde est la continuité du service public. Depuis la réforme de juillet 2022, une part de vos obligations passe par le site : la publication électronique des actes notamment. Un site indisponible pendant trois semaines n'est plus seulement gênant, il vous met en difficulté.
Les cinq protections qui comptent réellement
Inutile de transformer votre secrétariat en service informatique. Cinq points couvrent l'essentiel du risque.
- Les mises à jour, appliquées en continu. C'est de loin le facteur numéro un. Un site tenu à jour ferme les failles avant que les robots ne les exploitent. La bonne question à se poser aujourd'hui est simple : chez nous, qui applique les mises à jour, et quand l'a-t-il fait pour la dernière fois ? Si la réponse est « personne » ou « le prestataire, quand on l'appelle », le site est exposé.
- Le moins de composants possible. Chaque extension ajoutée est une porte supplémentaire, et une extension abandonnée par son auteur ne recevra plus jamais de correctif. C'est le talon d'Achille des sites assemblés à partir de modules tiers, comme nous l'expliquons dans WordPress pour une mairie.
- Des sauvegardes quotidiennes, et surtout restaurables. Une sauvegarde que personne n'a jamais testée n'est pas une sauvegarde. Ce qui compte est le délai de remise en ligne : quelques heures, pas quelques semaines.
- Des accès nommés. Un compte par personne, jamais un mot de passe partagé par toute la mairie et transmis d'agent en agent depuis des années. Quand un agent part, son accès se retire en un clic.
- Un hébergement en France, chez un hébergeur identifié. Pour la protection des données comme pour la réactivité en cas d'incident.
Le vrai sujet : la maintenance dans la durée
Toutes ces protections ont un point commun : elles ne se font pas une fois, elles se font en permanence. C'est là que le modèle habituel se casse. Une commune paie une prestation de création, le site est livré propre et sécurisé, puis plus personne ne s'en occupe. Le site est parfaitement sûr le premier jour, et vulnérable au bout de deux ans.
C'est exactement ce que change une solution en abonnement. Avec HelloMairie, les mises à jour de sécurité sont appliquées par nos soins sur l'ensemble des sites, sans intervention de votre part et sans facture. Les sauvegardes sont quotidiennes, l'hébergement et les données sont en France, le site est servi en HTTPS, et il n'y a aucune extension tierce à installer : ce que vous n'ajoutez pas ne peut pas devenir une faille. Vous ne recevez pas de courriel vous demandant de « penser à mettre à jour » — il n'y a rien à penser.
Ce point pèse souvent plus lourd que le prix dans la décision d'un conseil municipal, et il est détaillé sur notre page site internet clé en main pour mairie.
Si l'incident se produit malgré tout
Une commune doit pouvoir réagir vite, et le premier réflexe est d'informer. En cas d'usurpation — de faux courriels envoyés en votre nom, une fausse demande de paiement —, chaque heure compte pour éviter qu'un habitant ne se fasse piéger.
C'est un usage auquel on ne pense pas de l'application mobile de la commune : elle vous donne un canal officiel, immédiat et non falsifiable pour démentir. En deux minutes, tous les habitants équipés reçoivent le message « la mairie ne vous demandera jamais de paiement par courriel ». Gratuite pour vos administrés et comprise dans l'abonnement dès 39 € par mois, elle sert autant en incident qu'au quotidien.
Faites le point sur votre site actuel. Demandez votre accès de démonstration : vous recevez par e-mail un site de mairie complet à parcourir. Pendant la présentation gratuite de 30 minutes, nous regardons ensemble depuis quand votre site n'a pas été mis à jour et ce que couvre — ou ne couvre pas — votre contrat actuel. Sans engagement, à partir de 39 € par mois, maintenance comprise.