Pourquoi la sécurité compte en 2026

En 2026, le seuil pour réussir une tentative de phishing ou de fraude contre une PME est plus bas qu’il ne l’a jamais été. Non pas parce que les attaquants sont devenus plus malins — mais parce que les fondamentaux ne sont toujours pas en ordre chez de nombreuses entreprises. Un enregistrement DMARC manquant, un certificat TLS expiré, un sous-domaine oublié pointant encore vers un ancien serveur : ce ne sont pas des problèmes exotiques. Ce sont les signaux que toute attaque automatisée vérifie en premier.

Cet article explique quels signaux nous testons lors d’un audit de sécurité passif, pourquoi chacun compte, et comment remettre les bases en ordre de manière structurée — sans que cela devienne un projet majeur.

Que voulons-nous dire par « audit de sécurité passif » ?

Un audit passif ne regarde que les signaux publiquement disponibles. Nous ne scannons rien de manière intrusive, nous n’essayons rien de contourner, et nous ne testons aucun mot de passe. Tout ce que nous évaluons est de l’information que votre propre serveur web, votre DNS et votre configuration mail publient déjà sur l’internet public — et que n’importe quel attaquant avec un navigateur et un terminal pourrait récupérer en trois minutes.

Ce périmètre est délibéré. Nous ne voulons pas provoquer d’impact technique ; nous voulons vous montrer ce que le monde extérieur voit déjà aujourd’hui sur votre entreprise.

Les six piliers que nous testons

1. Configuration TLS / HTTPS

Un certificat valide est le minimum en 2026, pas l’objectif. Ce que nous regardons en plus : votre serveur supporte-t-il encore des versions TLS obsolètes (1.0, 1.1) ? Des suites de chiffrement faibles sont-elles activées ? HSTS est-il configuré pour que les navigateurs ne puissent pas ouvrir accidentellement une connexion HTTP ?

Pourquoi c’est important : un navigateur autorisé à parler TLS 1.0 avec votre site est aussi autorisé à le faire avec un proxy placé entre les deux. C’est exactement ainsi que fonctionnent les attaques man-in-the-middle sur les réseaux WiFi.

2. En-têtes de sécurité HTTP

Des en-têtes comme Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et Permissions-Policy déterminent ce que le navigateur de vos visiteurs a le droit de faire et de ne pas faire au nom de votre site. S’ils manquent, un attaquant qui parvient à injecter un script quelque part (pensez à une balise marketing compromise) peut causer beaucoup plus de dégâts.

Pourquoi c’est important : ce sont des réglages que votre hébergeur ou votre CDN peut ajouter en un seul commit. C’est un fruit à portée de main, et la différence entre un A et un F sur Mozilla Observatory représente généralement un après-midi de travail.

3. Authentification e-mail (SPF, DKIM, DMARC)

En 2026 c’est le pilier qui prévient le plus de dégâts financiers directs. Sans une politique DMARC stricte (p=quarantine ou p=reject), n’importe qui peut envoyer des e-mails qui, pour le destinataire, semblent provenir de votre domaine. Factures usurpées, fraude au président, fausses relances — tout commence ici.

Pourquoi c’est important : depuis 2024, Google et Microsoft acceptent de plus en plus strictement le courrier des expéditeurs sans DMARC correct. Un enregistrement manquant n’est pas seulement un risque de sécurité — c’est un risque de délivrabilité pour votre propre courrier.

4. Hygiène DNS

Nous regardons votre statut DNSSEC, si vos enregistrements CAA précisent quelles autorités de certification peuvent signer pour votre domaine, et si vos enregistrements MX exposent des ports ouverts ou des serveurs hérités. Au-delà, nous faisons un inventaire passif des sous-domaines via les journaux publics de Certificate Transparency — non pas pour attaquer, mais pour rendre visible tout ce qui est en ligne au nom de votre entreprise.

Pourquoi c’est important : beaucoup d’incidents commencent sur un sous-domaine oublié. Un staging.entreprise.fr mis en place un jour pour un test, qui a toujours son DNS, mais qui pointe vers un serveur que plus personne ne gère — c’est précisément là que les attaquants regardent en premier.

5. Exposition passive de l’infrastructure

Des services comme Shodan et Censys indexent en continu l’internet public. Nous lisons ce qu’ils ont déjà collecté sur vos adresses IP. Ports de base de données ouverts, panneaux d’administration accessibles depuis l’internet public, ou services avec des CVE connues — ce sont les signaux que nous mettons en lumière.

Pourquoi c’est important : si Shodan le sait déjà, tout le monde le sait. Ce n’est pas une attaque ; c’est de l’information publique.

6. Fuites de données connues (Have I Been Pwned)

Pour votre propre domaine, nous vérifions via l’API officielle HIBP si des adresses e-mail de vos collaborateurs apparaissent dans des fuites connues. Nous faisons cela uniquement pour votre propre domaine — et seulement de manière agrégée, pas par adresse individuelle dans le rapport.

Pourquoi c’est important : un mot de passe réutilisé issu d’une fuite LinkedIn de 2021 est, en 2026, toujours le point de départ de nombreuses prises de contrôle de comptes.

Que recevez-vous d’un audit ?

Un rapport avec une note de 0 à 100, construite à partir des six piliers, plus une priorisation : quelles trois à cinq améliorations vous devriez déployer en premier pour faire bouger votre note le plus possible. Pas une liste de cent remarques techniques — une poignée de recommandations concrètes que votre partenaire IT ou votre développeur web peut prendre en charge dans un seul sprint.

Ce que vous ne recevez pas : un récit sur à quel point votre site est « piratable ». Nous ne croyons pas à ce genre de cadrage. Ce que vous recevez en revanche : une vision sobre de ce que le monde extérieur peut voir aujourd’hui sur votre entreprise, et une feuille de route pour améliorer cette vision.

Pourquoi 2026 est le bon moment

Trois évolutions rendent cette année différente des précédentes :

NIS2 est opérationnelle. Beaucoup de PME qui étaient auparavant hors du radar du régulateur tombent désormais bel et bien sous la nouvelle directive — directement, ou via leurs clients dans la chaîne d’approvisionnement.
L’IA abaisse le seuil pour les attaquants. Les e-mails de phishing ne se reconnaissent plus à de mauvaises traductions. La couche technique doit compenser cela.
Les assureurs cyber exigent une hygiène de base démontrable. Pas de DMARC, pas de politique MFA, pas d’audit périodique ? Alors la police ne rembourse rien non plus.

Quelle est la prochaine étape logique ?

Si vous voulez savoir où en est votre propre domaine aujourd’hui, nous réalisons un audit passif gratuit et vous envoyons le rapport sous un jour ouvré. Pas d’appel commercial au préalable, pas de formulaire à vingt questions. Vous recevez le rapport, vous décidez vous-même de ce que vous en faites.

Planifiez un entretien — ou envoyez-nous directement votre domaine à [email protected] et nous nous mettons au travail.

Cet article décrit comment nous menons nos audits de sécurité chez LevelsTech. Nous ne réalisons que des analyses passives et non intrusives, basées sur des informations publiquement disponibles. Nous ne scannons rien de manière intrusive, nous ne testons aucun mot de passe, et nous ne tentons pas d’accéder à des systèmes pour lesquels nous n’avons pas d’autorisation écrite.