Hier, j'ai passé quatre heures au téléphone avec Antoine Heriaud de @cybreach-consulting, spécialiste en cybersécurité à Angers.
Quatre heures. Et ni lui ni moi n'avons vu le temps passer.
J'écris ça aujourd'hui, à chaud, pendant que la mémoire est fraîche. Pas pour annoncer quelque chose de merveilleux à la terre entière : je ne prends quasiment pas de notes, alors écrire cet échange, c'est ma façon de le fixer. Mémoriser l'instant et son contenu, et pouvoir le partager. Une pierre, deux coups.
On s'est trouvés sur LinkedIn. On aurait pu en rester là : un commentaire, un like, un message poli.
Pendant qu'on parlait, il a créé son compte sur yaaKa. Je lui ai crédité des yaaKs. Il a cherché des failles de sécurité sur la plateforme — c'est son métier. Il en a trouvées.
De mon côté, je lui ai donné des pistes sur sa communication, ses mots-clés, deux ou trois astuces yaaKa.
Et entre tout ça, on a parlé du reste. De nos parcours. De travailler chez soi, chacun de son côté. Et des statuts : lui est en SARL, moi je suis auto-entrepreneur. On a beaucoup échangé sur ce passage-là — à quel moment on quitte l'auto-entreprise pour passer en SARL ou en SAS, et ce que ça change vraiment.
Pourquoi le feeling était là ?
Au fil des années, j'ai appris à jauger assez vite le degré de maturité de quelqu'un dans un échange. Antoine est mature.
Et c'est précisément parce que je le perçois que je me sens en confiance. C'est là que tout se joue. Sans cette confiance, je ne lui ouvre pas ma plateforme, je ne rentre pas dans le détail de ce que je construis. La conversation reste polie et superficielle.
Là, on est allés droit au but. Pas de posture, pas de démonstration. D'où les quatre heures qui filent sans qu'on les voie.
Ce qu'on s'est dit sur la sécurité
Antoine ne fait pas que du web. Il intervient aussi en entreprise. Tout ce qui est connecté, donc tout ce qui est exposé.
Ce qu'il constate : des entreprises attendent l'incident pour réagir.
Elles ne prévoient pas.
Parfois c'est une question de coût, et là on comprend. Une TPE n'a pas le budget d'un grand groupe. Mais quand ce n'est pas une question de coût, la question devient franchement simple : est-ce que j'investis dans la protection de mon patrimoine professionnel, ou est-ce que je croise les doigts en espérant qu'il ne se passera rien ?
Le problème, c'est qu'après l'incident, il est souvent trop tard. Les données chiffrées, elles sont chiffrées. Les données parties, elles sont parties.
Le patrimoine numérique, c'est le seul qui vous appartienne
Ce passage ne s'adresse pas à mes clients. Eux ont un site, ils savent pourquoi.
Il s'adresse à tous ceux qui disent : « Moi, je n'ai pas besoin d'un site web, il y a les réseaux sociaux ».
D'accord, mais le jour où vous revendez votre entreprise, qu'est-ce que vous cédez ?
Vos murs, votre matériel, votre clientèle, votre nom. Et votre présence en ligne — si tant est qu'elle vous appartienne.
Parce qu'une page sur un réseau social, ce n'est pas votre patrimoine. C'est celui de l'entreprise qui a développé la plateforme. Vous y êtes hébergé, pas propriétaire. Un changement d'algorithme, une suspension de compte, une plateforme qui ferme : il ne reste rien, et vous n'avez aucun recours. On ne vend pas ce qu'on ne possède pas.
Un site web ou une plateforme, si. Ça se valorise, ça se transmet, ça se cède. Ça entre au bilan de votre patrimoine professionnel.
Et comme tout patrimoine, ça s'entretient. Un bien immobilier, on le met aux normes, on vérifie l'électricité, on l'assure. Personne ne trouve ça excessif : on protège ce qui a de la valeur.
Le patrimoine numérique mérite exactement la même attention.
Ce n'est pas un aveu de faiblesse
Vérifier la sécurité d'une plateforme web publique ou la sécurité des systèmes informatiques d'une entreprise n'est pas un aveu de faiblesse mais une responsabilité. Comme dirait l'autre, mieux vaut prévenir que guérir.
Pourquoi ?
Regardez les outils que nous utilisons tous les jours. Apple, Microsoft, les grandes plateformes numériques : ces entreprises mondiales emploient les meilleurs développeurs et les meilleurs professionnels de la cybersécurité de la planète. Et elles publient des correctifs en permanence.
Un correctif, ça corrige quoi ? Une faille.
Et l'actualité le confirme sans arrêt
Il ne se passe pas un mois sans qu'une grande entreprise, une administration ou un service public annonce une intrusion, une fuite de données, un système compromis. Des structures qui ont des budgets, des équipes, des experts. Si eux se font avoir, personne n'est à l'abri.
Le système sans faille n'existe pas. Si les plus grands en ont, tout le monde en a. La question n'est donc pas « est-ce que mon site a des failles » — il en a. La question est : est-ce que je les cherche avant qu'on ne les trouve à ma place ?
La sécurité n'est pas un état qu'on atteint. C'est un entretien permanent.
C'est exactement pour ça que j'ai voulu qu'Antoine regarde yaaKa. Ce n'est pas mon métier, la cybersécurité. C'est le sien.
Un réseau social, c'est une passerelle
Les plateformes américaines sont conçues pour qu'on y reste. C'est leur modèle économique, elles monétisent notre temps, je le comprends très bien. Mais pour les entrepreneurs qui ne monétise pas en ligne, l'intérêt est exactement inverse : entrer, trouver la bonne personne, et sortir.
Le vrai échange commence quand on ferme l'onglet.