Cybersécurité du site internet d’une mairie : 7 risques et leurs parades

État des lieux : les cyberattaques visant les mairies

Les communes sont devenues une cible privilégiée des cybercriminels.Elles détiennent des données nominatives sensibles, un parc informatique souvent vieillissant, peu de budget et peu d’équipes techniques.La cyber des communes concerne toutes les tailles de collectivité, et le site mairie est souvent le maillon faible.

La liste des collectivités françaises victimes d’attaques majeures s’allonge chaque année.Le rapport d’activité annuel de Cybermalveillance.gouv.fr et le panorama de la cybermenace du CERT-FR (ANSSI) documentent chaque année des incidents touchant des collectivités de toutes tailles, des grandes métropoles aux plus petites communes rurales.

Les modes d’attaque varient (rançongiciel, vol de données, page du site remplacée par les pirates, hameçonnage ciblé), mais les conséquences se ressemblent :

• services paralysés pendant plusieurs jours à plusieurs semaines ;
• données d’administrés potentiellement exposées ;
• coûts directs et indirects qui se chiffrent en dizaines voire centaines de milliers d’euros.

Selon les rapports annuels de Cybermalveillance.gouv.fr, les collectivités territoriales représentent un volume croissant des demandes d’assistance enregistrées sur la plateforme.L’ANSSI, dans son panorama de la cybermenace, relève aussi une exposition particulière des collectivités de taille moyenne.Elles sont assez riches en données et en services pour intéresser les attaquants, mais rarement dotées d’équipes de sécurité dédiées.

Il faut rester prudent avec les chiffres globaux.Une partie significative des incidents n’est pas signalée publiquement, parce que la commune ignore avoir été ciblée ou par choix politique.Mais le sens du mouvement est clair : l’ANSSI, laDINUM et la Cour des comptes tirent la même sonnette d’alarme depuis 2021.

Le site internet officiel de la commune est l’un des points d’exposition les plus fréquents.Il est public, il interagit avec les administrés (formulaires, comptes), et il reste souvent l’élément le plus négligé de l’informatique de la mairie.

Les 7 risques majeurs et leurs parades

Ces sept risques ne sont pas exhaustifs, mais ils concentrent la majorité des incidents constatés sur les sites web de collectivités.Pour chacun : le scénario type, la parade, et la manière dont une plateforme spécialisée comme Mairie.app le traite.

1. Un logiciel de site (CMS) non maintenu (WordPress ou Joomla vieilli)

Scénario. Le site tourne sur une version dépassée de son logiciel (le CMS, l’outil qui fait fonctionner le site), dont les failles de sécurité sont publiquement documentées.Un attaquant scanne le web à la recherche de versions vulnérables.Il compromet le site en quelques minutes, sans même cibler la commune.

Parade. Mettez à jour le logiciel du site dans les jours qui suivent chaque nouvelle version.Le contrat de maintenance du site internet de la mairie doit nommer la responsabilité de la mise à jour, ses délais, et inclure les tests après chaque mise à jour.Sur une plateforme spécialisée en ligne, par abonnement (SaaS), la maintenance est mutualisée et invisible : la commune ne gère aucune version.Voir notre approche sécurité et maintenance.

2. Extensions (plugins) vulnérables

Scénario. Le logiciel du site est à jour, mais l’une des extensions installées (formulaire, galerie, calendrier) ne l’est pas.Ces extensions, souvent développées par des éditeurs indépendants, sont la première porte d’entrée des attaquants sur les sites WordPress.

Parade. Trois gestes limitent le risque :

• faire l’inventaire régulier des extensions installées ;
• supprimer les extensions non utilisées ;
• surveiller les bulletins de sécurité des éditeurs.

Sur une plateforme intégrée, il n’y a pas de boutique d’extensions venues d’autres éditeurs.Chaque outil est maintenu dans la solution elle-même. Les attaquants ont donc beaucoup moins de portes d’entrée.

3. Identifiants faibles et absence d’authentification à deux facteurs

Scénario. Le compte administrateur du site est protégé par un mot de passe simple, partagé entre plusieurs agents, jamais changé depuis trois ans.Un courriel d’hameçonnage cible le secrétariat de mairie et capture les identifiants.L’attaquant se connecte.

Parade. Appliquez trois règles :

• des mots de passe robustes, gérés par un gestionnaire de mots de passe ;
• aucun partage de compte (chaque agent a le sien) ;
• l’authentification à deux facteurs (MFA, un code en plus du mot de passe) partout, par une application sur téléphone (TOTP) ou par code reçu par e-mail.

L’ANSSI recommande le MFA pour tous les comptes qui ont des droits d’administration.Cybermalveillance.gouv.fr propose un guide complet sur les mots de passe.

4. Hébergement mutualisé non isolé

Scénario. Le site est hébergé sur un serveur partagé avec d’autres sites (mutualisé), chez un hébergeur grand public à très bas coût.Une faille sur un autre site hébergé sur la même machine permet à l’attaquant d’accéder aux données du site de la commune.

Parade. Choisissez un hébergement isolé au sein de l’Union européenne.Idéalement, l’hébergeur est qualifié SecNumCloud (le label de sécurité de l’ANSSI) ou conforme aux exigences de l’ANSSI pour le secteur public.Voir notre localisation de l’hébergement (région AWS de Francfort, dans l’Union européenne ; données chiffrées quand elles sont stockées et quand elles circulent).

5. Absence ou défaut de sauvegarde

Scénario. Un rançongiciel verrouille les données et les fichiers du site, puis les pirates demandent une rançon.La commune découvre alors que la dernière sauvegarde date de six mois.Ou que la sauvegarde n’a jamais été testée et qu’elle est inutilisable.

Parade. Les sauvegardes doivent être :

• quotidiennes et automatisées ;
• externalisées (copiées hors du serveur du site) ;
• chiffrées ;
• testées périodiquement.

Conservez-les au moins 30 jours, pour couvrir les attaques découvertes tard.Une sauvegarde non testée est une sauvegarde fictive.

6. Formulaires de contact non protégés (spam, piratage, vol de données)

Scénario. Le formulaire de contact reçoit des centaines de messages frauduleux par jour.Certains contiennent des tentatives de piratage (injection SQL ou de scripts).Les boîtes mail des agents sont noyées et les vrais messages se perdent.La moindre erreur de filtrage peut compromettre le serveur.

Parade. Combinez quatre protections :

• un filtre anti-robots (Turnstile ou équivalent) ;
• un contrôle strict, par le serveur, de tout ce qui est saisi ;
• une limite du nombre d’envois (rate limiting) ;
• un stockage chiffré des messages.

Aucun e-mail d’administré ne doit circuler sans chiffrement.

7. RGPD ignoré et fuite de données d’administrés

Scénario. La commune collecte des données personnelles via son site (inscriptions, formulaires, lettre d’information) sans respecter les principes du RGPD, le règlement sur la protection des données personnelles.Ces principes sont simples.On ne collecte que le nécessaire, pour un but précis, et pour une durée limitée.En cas de fuite, l’incident devient un double problème, de sécurité et de conformité légale, avec une notification à la CNIL sous 72 heures.

Parade. Quatre points à tenir :

• un registre des traitements à jour ;
• une politique de confidentialité claire ;
• aucune donnée collectée au-delà du nécessaire ;
• des durées de conservation réglées dans l’outil et appliquées automatiquement.

Voir notre guide RGPD pratique pour les communes et notre approche conformité RGPD.

Que faire en cas d’attaque ?

Aucune commune n’est à l’abri.Préparer la réaction est aussi important que prévenir.Une procédure d’incident écrite, connue de l’équipe, fait la différence entre 48 heures de gestion maîtrisée et trois semaines de chaos.

Étape 1 : Isoler

Déconnectez immédiatement le serveur compromis du réseau (ou demandez à l’hébergeur de le faire).N’éteignez pas le serveur : la mémoire vive contient des indices précieux pour l’enquête technique qui suivra.Coupez les accès à distance des comptes potentiellement compromis.

Étape 2 : Alerter

Informez le maire, le directeur général des services et le référent informatique (interne, intercommunal ou prestataire).Constituez une cellule de crise restreinte qui centralise les décisions et la communication.Conservez les traces (captures d’écran, journaux). Elles seront nécessaires pour le dépôt de plainte et l’analyse.

Étape 3 : Déclarer

Plusieurs déclarations sont à faire en parallèle :

• Dépôt de plainte au commissariat ou à la gendarmerie. Il est obligatoire pour engager des poursuites pénales ;
• Notification CNIL sous 72 heures si des données personnelles ont été ou pourraient avoir été exposées (article 33 RGPD). Le téléservice est disponible sur cnil.fr ;
• Signalement à Cybermalveillance.gouv.fr via cybermalveillance.gouv.fr. Il permet d’obtenir une assistance gratuite et la mise en relation avec un prestataire local référencé ;
• Saisine de l’ANSSI pour les incidents les plus graves affectant la continuité du service public.

Étape 4 : Communiquer

Communiquer aux administrés est obligatoire si le risque pour leurs données est élevé (article 34 RGPD).C’est aussi politiquement nécessaire dans tous les cas, pour maintenir la confiance.Rédigez un message factuel, sans dramatisation ni minimisation, qui explique ce qui s’est passé, ce qui a été fait et ce qui est attendu d’eux.Cybermalveillance.gouv.fr fournit des modèles de communication.

Rôle du responsable informatique mutualisé (RSSI, DSI)

Pour une commune sans expertise interne, le centre de gestion ou l’intercommunalité dispose souvent d’un responsable de la sécurité informatique (RSSI) ou d’un service informatique (DSI) partagé entre communes.Identifier ce contact avant l’incident fait gagner des heures critiques le jour J.Si aucune structure mutualisée n’est disponible, Cybermalveillance.gouv.fr référence des prestataires de proximité agréés.

Ressources officielles pour aller plus loin

Cinq sources officielles sont à mobiliser, gratuites et adaptées au secteur public local :

• ANSSI : Agence nationale de la sécurité des systèmes d’information. Guides techniques, recommandations, panorama annuel de la menace. Voir le guide d’hygiène informatique et les publications de l’ANSSI ;
• Cybermalveillance.gouv.fr. Plateforme gouvernementale d’assistance aux victimes, kits de sensibilisation libres de droits, diagnostic en ligne, annuaire de prestataires labellisés ExpertCyber. cybermalveillance.gouv.fr ;
• DINUM : Direction interministérielle du numérique. Référentiels, outils et recommandations pour les services numériques publics, dont le RGAA et le socle interministériel de logiciels libres. numerique.gouv.fr ;
• Référentiel SecNumCloud. Qualification ANSSI des offres d’hébergement en ligne (cloud) répondant aux exigences les plus élevées en matière de sécurité et de souveraineté. La liste des hébergeurs qualifiés est publiée sur cyber.gouv.fr ;
• CNIL : Commission nationale de l’informatique et des libertés. Guides sectoriels collectivités, modèles de registre, fiches pratiques sur les traitements municipaux courants. cnil.fr/fr/collectivites-locales.