La dette cachée du logiciel métier

Dans un cabinet d'avocats parisien, le logiciel de gestion des dossiers exige un partage réseau accessible en écriture à tous les utilisateurs du domaine. Sans cela, il refuse de démarrer. Le support de l'éditeur est formel, c'est un prérequis technique, documenté, assumé. Des milliers de cabinets fonctionnent ainsi. Des secrets professionnels, des pièces de procédure, des correspondances couvertes par la confidentialité la plus stricte du droit français, posés sur un dossier partagé en accès total.

Ce n'est pas une anomalie. C'est un modèle.

Interrogez n'importe quel prestataire informatique qui intervient chez des PME, il vous racontera la même histoire. Le logiciel de paie qui réclame des droits administrateur local pour se mettre à jour. L'ERP qui stocke ses identifiants de base de données en clair dans un fichier de configuration lisible par tous. L'application de gestion vétérinaire, notariale, comptable ou médicale dont l'installation commence par une consigne devenue rituelle, désactivez l'antivirus et ouvrez le partage en contrôle total, sinon rien ne fonctionne.

Ces éditeurs ne sont pas des amateurs. Certains dominent leur marché depuis vingt ou trente ans. C'est précisément le problème. Leur architecture date d'une époque où le réseau local était considéré comme une zone de confiance, et ils n'ont jamais eu de raison commerciale de la refondre. Leurs clients ne choisissent pas un logiciel pour son modèle de permissions. Ils le choisissent parce que l'ordre professionnel le recommande, parce que le concurrent l'utilise, parce que la migration coûterait une fortune. La sécurité n'apparaît nulle part dans l'équation d'achat. Elle n'apparaît donc nulle part dans le produit.

Le résultat se lit dans les statistiques des rançongiciels. Quand un attaquant compromet un seul poste de travail dans une organisation dont le logiciel central exige un partage ouvert à tous, il n'a plus rien à faire. Le mouvement latéral est déjà câblé dans l'architecture. Le chiffrement des données métier n'est pas une prouesse technique, c'est une conséquence mécanique d'un choix de conception fait il y a quinze ans et jamais remis en cause. Les assureurs cyber l'ont compris avant les éditeurs, leurs questionnaires s'allongent chaque année, et certaines configurations imposées par des logiciels métier rendent désormais des entreprises tout simplement inassurables.

Le plus troublant est l'asymétrie des responsabilités. Quand l'attaque survient, c'est le cabinet, la clinique ou l'usine qui subit l'arrêt d'activité, la notification à la CNIL, la perte de clients. L'éditeur, lui, invoque ses conditions générales et continue de vendre la même architecture au client suivant. Aucune réglementation ne l'oblige aujourd'hui à en répondre. Le règlement européen sur la cyberrésilience commencera à changer la donne, mais son calendrier laisse encore plusieurs années de sursis à des produits dont les prérequis d'installation constitueraient, dans tout autre secteur, un vice de conception.

La deuxième vague arrive, et elle code plus vite

Pendant que les éditeurs historiques traînent leur dette, une nouvelle génération construit la sienne à une vitesse inédite.

On les appelle les adeptes du « vibe coding ». Armés d'assistants d'intelligence artificielle, ils produisent en un week-end des applications qui auraient demandé des mois à une équipe. Gestion de clientèle, prise de rendez-vous médicaux, suivi de dossiers, paiement en ligne. Les outils sont spectaculaires, les interfaces sont propres, les démonstrations impressionnent les investisseurs. Et sous la surface, c'est souvent le vide.

Des chercheurs en sécurité qui auditent ces applications décrivent un paysage d'une monotonie inquiétante. Des bases de données exposées sans la moindre règle d'accès au niveau des lignes, si bien que n'importe quel utilisateur authentifié peut lire les données de tous les autres en modifiant un identifiant dans une requête. Des clés d'API embarquées dans le code livré au navigateur. Des vérifications de droits effectuées côté client, c'est-à-dire nulle part. Des injections rendues possibles par des requêtes assemblées à la main, vulnérabilité documentée depuis un quart de siècle et que les générateurs de code reproduisent avec application quand personne ne leur demande le contraire.

Le créateur, lui, ne le sait pas. C'est la définition même du phénomène. Il n'a pas décidé d'ignorer la sécurité, il ignore qu'elle existe en tant que discipline. L'assistant lui a livré un code qui fonctionne, l'application tourne, les premiers clients paient. Rien, dans son expérience, ne signale le problème avant le jour où quelqu'un de mal intentionné ouvre les outils de développement de son navigateur.

Les deux phénomènes semblent opposés. Les vieux éditeurs sont lents, les nouveaux venus sont rapides. Les premiers portent trente ans de dette, les seconds trente jours d'existence. En réalité ils racontent la même histoire, celle d'un marché où la sécurité ne se voit pas, ne se vend pas, et ne se paie qu'après coup, par la victime.

Il existe pourtant un précédent. L'industrie automobile a longtemps vendu des voitures sans ceintures, jusqu'à ce que la réglementation et la responsabilité juridique du constructeur transforment la sécurité en argument commercial, puis en évidence. Le logiciel métier attend encore son moment Ralph Nader. En attendant, chaque cabinet, chaque clinique, chaque PME qui installe une application en suivant docilement la consigne d'ouvrir les partages en accès total signe un chèque en blanc. La seule inconnue est la date d'encaissement.