Un observatoire publié par l’éditeur français ARXO.ai documente l’état réel de l’exposition web des PME françaises. Les premiers chiffres révèlent un déficit structurel de protection sur le segment qui concentre pourtant l’essentiel des cyberattaques opportunistes.
Plus de 40 % des PME françaises analysées par ARXO.ai présentent au moins une interface d’administration visible ou un signal de configuration sensible. 35 % affichent au moins un signal pouvant faciliter une exposition de données. Près de 60 % ne disposent pas d’une protection applicative visible (WAF) sur leur site principal. Ces chiffres, agrégés et anonymisés, sont issus d’analyses passives et non intrusives, l’observatoire mesure ce qu’un attaquant peut voir depuis Internet sans aucune action illégale.
La méthode est documentée. Aucun test d’intrusion n’est conduit sans accord des entreprises concernées. Les éléments observés portent sur la surface d’exposition externe : en-têtes HTTP, certificats, configurations visibles, composants détectables, signaux d’exposition publique. Cette approche est complémentaire des études existantes : là où les rapports classiques analysent les attaques après coup, ARXO mesure l’état d’exposition avant l’incident.
Les verticales les plus représentées dans l’observatoire sont les professions réglementées : experts-comptables, cabinets d’avocats, cabinets médicaux, cabinets de conseil. Toutes manipulent des données clients sensibles et toutes sont structurellement sous-équipées en cybersécurité. Le déficit de protection y est particulièrement préoccupant à l’approche de NIS 2, qui élargit les obligations aux PME sous-traitantes de secteurs critiques.
« Les PME ne manquent pas de signaux d’alerte. Elles manquent de capacité à les lire et à les interpréter », résume Florent Covilette, fondateur d’ARXO. « La majorité des incidents auraient pu être évités si l’exposition avait été détectée et comprise avant l’attaque. » L’éditeur français, fondé en 2025, propose une approche fondée sur la surveillance continue de l’exposition web et une protection adaptative opérée pour le compte du client : un modèle pensé pour les structures sans DSI.
Note : article publi-rédactionnel rédigé par le partenaire.
