La cybersécurité dans l'économie sociale et solidaire, vue de l'intérieur.

Quand on parle cybersécurité dans l'ESS, deux discours coexistent et s'évitent. Le premier, institutionnel, énumère les bonnes pratiques recommandées par l'ANSSI ou la CNIL et constate que « les associations devraient s'en préoccuper davantage ». Le second, vécu, vient des bénévoles et des prestataires : pas de budget, pas d'admin sys, des outils empilés sur dix ans, une dépendance lourde à des agences web qui livrent puis disparaissent. Entre les deux, peu de chiffres.

Ce baromètre s'appuie sur un matériau qui n'existait pas : trente-cinq audits pédagogiques conduits sur neuf semaines, sur des cibles allant de l'association de quartier au groupement public de plus de mille agents. Chaque audit a suivi le même protocole — reconnaissance passive, fingerprinting, énumération, tests actifs sous autorisation — et a produit un rapport, un email de signalement et une présentation de remédiation. L'agrégat de ces audits, c'est ce panorama.

Il ne prétend pas être représentatif au sens statistique : un échantillon de trente-cinq cibles, choisi par opportunité, ne se substitue pas à une enquête nationale. Mais il est suffisamment varié — par taille, secteur, statut juridique, choix techniques — pour faire émerger des récurrences solides. Quand dix-huit cibles sur trente-cinq laissent le DMARC en mode permissif, ce n'est plus une coïncidence : c'est un pattern. Et un pattern, ça se traite.

Le score /10

Chaque cible reçoit une note synthétique sur 10, dérivée d'une grille interne pondérant la sévérité des findings, le nombre de couches défensives présentes (WAF, MFA, segmentation, monitoring), et la qualité de l'hygiène générale (mises à jour, gestion des secrets, configuration TLS, headers HTTP, posture email). C'est un repère pédagogique, pas une métrique normative.

Limites assumées

• Échantillon non aléatoire. Les cibles ont été retenues par opportunité (intérêt pédagogique, accessibilité, diversité). Le résultat n'est pas extrapolable mécaniquement à l'ensemble du secteur ESS.
• Profondeur variable. Certaines cibles ont fait l'objet de cinq sessions de creusage, d'autres d'une seule. Le score reflète ce qui a été observé, pas une certitude exhaustive.
• Biais d'observabilité. Une cible bien défendue à l'extérieur peut cacher des défauts internes invisibles depuis Internet (postes Windows non patchés, réseaux Wi-Fi mal segmentés, PDF stockés en clair sur Google Drive).
• Pas de mesure du facteur humain direct. Aucun phishing test n'a été conduit. Or, statistiquement, c'est le vecteur n°1 sur les PME françaises.

L'arrivée des structures « grand public » bouge les chiffres

L'élargissement de l'échantillon à des organisations à fort impact public — coopérative d'utilité collective, association nationale humanitaire, structures sociales et d'interprétariat — puis l'ajout d'une SCOP de conseil (1/10, SQLi WLangage exploitable), d'une structure d'insertion (2/10 sur le tenant M365) et d'une plateforme e-commerce solidaire (2/10, profileur de debug en prod) fait osciller le score moyen entre 4,7 et 4,9. Ce n'est pas que ces structures soient pires que les autres en proportion : c'est qu'elles sont plus grandes, traitent des données plus sensibles (mineurs, populations vulnérables, sociétaires, négociations sensibles), et exposent plus de surface (plateforme métier WLangage, app mobile, M365 multi-domaines). Le ratio « surface / capacité de défense » se dégrade avec la taille, dès lors que la professionnalisation de la sécurité ne suit pas.

Distribution par stack technique

Top 10 des familles de vulnérabilités

Plutôt que d'aligner des CVE individuelles, on regroupe les findings par cause technique. Ce tableau classe les patterns par fréquence d'apparition dans l'échantillon.

Carte de risque exploitabilité × impact

Une vulnérabilité ne se mesure pas à sa technicité, mais au croisement de la facilité avec laquelle un attaquant peut la déclencher (exploitabilité) et de ce qu'il peut en faire (impact). Cette carte synthétise où se concentrent les risques observés dans l'échantillon ESS.

Les dix-huit critiques observées en 2026

Voici la liste exhaustive, anonymisée, des dix-huit vulnérabilités classées critiques dans cet échantillon. La majorité aurait pu être évitée par une configuration par défaut plus restrictive ; aucune ne demandait un attaquant sophistiqué.

« Le problème n'est pas la qualité technique des outils choisis — qui sont souvent excellents — mais leur exposition publique sans contrôle d'accès périmétrique. » Observation cross-audits

Facteurs aggravants spécifiques à l'ESS

« Le diagnostic n'est pas la stack est mauvaise, mais il manque un périmètre de sécurité. Les outils choisis sont bons — il faut juste arrêter de les exposer en clear-net. » Audit anonymisé

Ce que l'échantillon nous apprend

Une arborescence de décision pour 2026

Pour une organisation qui démarre ou qui restructure son SI, voici l'arbre de décision qui maximise la posture de sécurité dans le contexte ESS :

Ce que ces six cas ont en commun

Six profils différents — startup associative, organisme de formation, PME mobilité, PME de services médico-sociaux, coopérative à sociétaires, plateforme associative médico-juridique — six scores différents — 3, 4, 6, 3, 3, 2 — et pourtant des patterns identiques :

• Une façade défendable, qui rassure l'organisation et ses parties prenantes (site vitrine, certifications visibles, communication).
• Une infrastructure métier moins surveillée, où s'accumulent les configurations par défaut, les versions vieillissantes, les endpoints internes pensés comme « pas accessibles » mais accessibles.
• Une dépendance à un framework dont la sécurité dépend d'une discipline du développeur : Meteor exige un check d'auth manuel sur chaque méthode, Laravel n'oblige pas la vérification d'autorisation par objet, WebDev/WinDev ne sépare pas naturellement client et serveur.
• Aucune compromission n'a été menée, mais les chaînes d'attaque démontrées tiennent en cinq étapes, accessibles avec un navigateur et la lecture attentive du JavaScript public. La barrière n'est pas technique — elle est juridique (le pentester s'arrête à la PoC).
• Les données touchées ne sont pas anodines : sociétaires d'une coopérative, mineurs, demandeurs d'asile, interprètes médicaux, bénéficiaires d'aide sociale. Ce sont précisément les populations dont le droit à la protection de la vie privée est le plus fragile et dont l'exploitation aurait l'impact humain le plus élevé.

Les dix quick wins universels

Si vous ne devez en retenir que dix, retenez ceux-là. Ils s'appliquent à 80 % des cibles auditées et représentent la première journée de travail d'un référent technique sérieux.

Roadmap par profil d'organisation

Au-delà des quick wins, voici une trajectoire de maturation typique selon la taille et la maturité.

Le risque oublié : email et facteur humain

L'audit web est un exercice nécessaire mais insuffisant. Les chiffres nationaux le rappellent : ~80 % des compromissions PME en France passent par le phishing, donc par l'email. Or, sur les trente-cinq cibles auditées, seules sept avaient une posture email correcte (DMARC en p=reject, DKIM signé, SPF strict). Et sur les douze structures testées sur leur tenant Microsoft 365, dix exposaient encore Basic Auth Exchange Online ou n'avaient pas forcé la MFA en première ligne.

Pour les organisations dont le profil de risque est dominé par l'email plutôt que par le web (Microsoft 365, équipe distribuée, échanges réguliers avec partenaires/financeurs/bénéficiaires), les priorités diffèrent :

1. MFA Microsoft 365 ou Google Workspace sur tous les comptes — annule 95 % des password spray, qui sont eux-mêmes alimentés par l'énumération via GetCredentialType.
2. DMARC p=reject pour bloquer l'usurpation du domaine.
3. Politique de mots de passe + gestionnaire central pour éviter le partage informel.
4. Test de phishing trimestriel avec restitution pédagogique au staff.
5. Procédure d'offboarding écrite pour les comptes orphelins après départs.

Identité et exposition

Authentification et accès

Email et fraude

Maintenance et sauvegardes

Lecture du score

API REST

Interface permettant à des programmes (sites, applis mobiles, partenaires) de dialoguer avec un service. C'est la « porte arrière » qui sert souvent à transférer des données entre un site et une application mobile, par exemple. Mal protégée, elle peut révéler des données nominatives à toute personne qui sait l'interroger.

Brute force

Tentative automatisée de découvrir un mot de passe en essayant des millions de combinaisons. Une attaque est dite « amplifiée » quand elle peut faire plusieurs tentatives par requête (xmlrpc en WordPress permet 1 000 essais en une seule requête).

CMS (Content Management System)

Logiciel permettant de gérer un site web sans coder : WordPress, Drupal, Joomla, Wagtail. Les CMS sont à la fois la solution la plus simple pour avoir un site et la principale source de vulnérabilités quand ils ne sont pas maintenus à jour.

CDN / WAF

Content Delivery Network : réseau qui sert le contenu de votre site depuis le serveur le plus proche du visiteur. Web Application Firewall : pare-feu applicatif qui filtre les requêtes malveillantes. Cloudflare est le plus connu et offre les deux gratuitement.

Certificate Transparency (CT logs)

Registre public obligatoire de tous les certificats SSL émis sur Internet. Outil légitime pour la transparence, il permet aussi à n'importe qui de découvrir la liste de vos sous-domaines en 5 secondes — y compris ceux que vous croyiez « cachés » (staging, preprod, dev). À consulter via crt.sh.

CVE / CVSS

Common Vulnerabilities and Exposures : identifiant unique d'une faille de sécurité connue (exemple : CVE-2024-6387). Common Vulnerability Scoring System : score de gravité de 0 à 10. Au-delà de 9, on parle de critique.

DMARC / SPF / DKIM

Triplet d'enregistrements DNS qui authentifient vos emails et empêchent les usurpateurs d'envoyer des messages en se faisant passer pour votre domaine. p=reject est le réglage le plus protecteur. p=none ne bloque rien — il observe seulement.

EOL (End of Life)

Logiciel qui n'est plus supporté par son éditeur : pas de mises à jour de sécurité, même quand des failles sont publiées. PHP 5.6 est EOL depuis 2018. Drupal 9 est EOL depuis 2023. Maintenir un EOL en production équivaut à laisser une porte ouverte étiquetée « entrez ».

HSTS / CSP / X-Frame-Options

Famille des « security headers » : instructions envoyées par votre serveur au navigateur pour qu'il refuse certaines attaques (force HTTPS, bloque les scripts injectés, refuse l'inclusion en iframe). Ils sont gratuits, ajoutés en quelques minutes. Leur absence est un signal d'amateurisme.

Kill chain

Chaîne d'attaque : enchaînement de petites vulnérabilités, isolément non critiques, qui combinées permettent une compromission. Les pentesters cherchent les chemins les plus courts dans ce graphe d'opportunités.

MFA / 2FA

Multi-factor authentication : authentification à plusieurs facteurs. En plus du mot de passe, un code à usage unique (SMS, application Google Authenticator, clé physique YubiKey). Annule à elle seule 95 % des attaques par mot de passe volé.

OSINT (Open Source Intelligence)

Renseignement à partir de sources ouvertes, accessibles à tous : LinkedIn, Wayback Machine, registres DNS publics, Have I Been Pwned, Google. Les phases 0 et 1 d'un audit s'appuient exclusivement sur l'OSINT.

PII (Personally Identifiable Information)

Données à caractère personnel : nom, prénom, email, téléphone, adresse, photo, géolocalisation. Sous RGPD, leur traitement est encadré et leur fuite déclarable à la CNIL sous 72 h.

RCE (Remote Code Execution)

Exécution de code à distance : la pire des vulnérabilités, qui permet à un attaquant de faire tourner ses propres programmes sur votre serveur. Conduit généralement à une compromission complète et à du ransomware.

Rate limiting

Limitation du nombre de requêtes autorisées par minute, par utilisateur ou par IP. Empêche le brute force d'aboutir en multipliant le temps nécessaire par 1 000 ou 10 000. Sans rate limiting, un panel admin tombe en quelques heures de scan automatisé.

Sécurité par défaut / Privacy by design

Principe selon lequel un logiciel doit être sécurisé et respectueux de la vie privée à l'installation, sans configuration manuelle. À l'opposé, beaucoup de services exigent que l'utilisateur durcisse activement la configuration — sinon, il prend les défauts permissifs.

Self-hosted

Logiciel installé et exploité sur ses propres serveurs (par opposition à un service cloud managé). Donne le contrôle, mais exige une compétence d'administration système maintenue dans la durée.

Shadow IT

Outils, comptes ou services utilisés par le personnel sans validation officielle de l'organisation. Un Trello personnel pour gérer des bénéficiaires, un Drive partagé entre bénévoles, un compte Zoom pro de l'université d'à côté. Échappe à la cartographie et donc à la protection.

Subdomain takeover

Reprise de contrôle d'un sous-domaine orphelin pointant vers un service externe désactivé. Si campagne2019.assoc.fr pointe vers un Heroku abandonné, n'importe qui peut recréer ce Heroku et hériter du sous-domaine.

VPN

Virtual Private Network : tunnel chiffré entre l'utilisateur et le réseau de l'organisation. Dans un contexte de sécurité, sert à restreindre l'accès aux services internes — seules les personnes connectées au VPN peuvent atteindre /admin, par exemple.

xmlrpc.php

Endpoint hérité de WordPress, conçu pour permettre aux applications externes de poster des articles. Activé par défaut, il est devenu le vecteur de prédilection du brute force amplifié et de plusieurs familles d'attaques DDoS. À désactiver dans la quasi-totalité des cas modernes.

1. Le secteur ESS n'est pas en crise — il est en retard.

Aucune des organisations auditées n'est en perdition totale. Aucune n'a non plus la posture professionnelle qu'on attendrait d'une PME qui traite des données de mineurs ou de bénéficiaires précaires. La distance qui sépare le score médian observé (5/10) du score souhaitable (7/10) ne se mesure pas en années de chantier, mais en jours d'attention. Les cibles qui ont franchi le pas l'ont fait avec des budgets nuls ou symboliques.

2. Le risque n°1 n'est pas le pirate solitaire — c'est l'attaque de masse opportuniste.

L'imaginaire collectif associe la cybersécurité à des attaquants ciblés et sophistiqués. La réalité observée est plus prosaïque : des scanners automatisés ratissent Internet, repèrent les services obsolètes, tentent les mots de passe par défaut, monétisent ce qu'ils trouvent. Une organisation ESS n'est pas trop petite pour être attaquée — elle est trop visible pour ne pas l'être. La question n'est pas « si » mais « quand le scanner passera ».

3. Le facteur déterminant n'est pas la technologie — c'est la gouvernance.

Deux organisations avec la même stack peuvent avoir des scores radicalement différents selon qu'elles ont, ou pas, un référent technique nommément responsable, joignable, formé. Le contrat de prestation, la procédure d'offboarding, la décision d'arbitrage budgétaire, la clarté des rôles : ce sont des sujets de direction, pas de technique. La cybersécurité commence en conseil d'administration.

« Remédiation #1 : 0 €, 30 minutes, restriction d'IP sur les panels d'administration — élimine les findings hauts les plus courants. » Observation cross-audits, panorama 2026

Pour aller plus loin

• ANSSI — Guide d'hygiène informatique (42 mesures, accessible aux non-spécialistes).
• CNIL — Guide de la sécurité des données personnelles (édition à jour, librement téléchargeable).
• Cybermalveillance.gouv.fr — plateforme d'assistance gratuite aux victimes, et dispositif Diag Cyber Asso pour les structures à but non lucratif.
• Le programme Anozr Way et les initiatives France Num pour les TPE/PME.
• Programmes gratuits dédiés au secteur associatif : Bitwarden Free for Nonprofits, Cloudflare Project Galileo, Google for Nonprofits.
• Réseaux ressources ESS : Avise, UDES, UNIOPSS.

Vous voulez situer votre propre organisation ? Notre auto-diagnostic cybersécurité ESS reprend les 16 dimensions clés du baromètre en 3 minutes, gratuit et anonyme. Voir aussi la page qui suis-je et les formations cybersécurité & numérique responsable.

Ce panorama est un état des lieux. La suite dépend des organisations elles-mêmes, de leurs prestataires, de leurs financeurs — et de la décision, partagée ou non, de prendre la sécurité au sérieux avant qu'un incident ne l'impose.