# Ce que coûte un serveur piraté : les postes de coûts

> Ce qu'un serveur piraté coûte à une entreprise : coûts directs, indirects et consécutifs, avec des conseils pour établir votre propre calcul.

Source : https://phpsos.de/fr/blog/kostenposten-eines-hacks/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** les coûts d'une cyberattaque pour une entreprise se répartissent en trois groupes : des coûts directs de traitement de l'incident, de nettoyage et de conseil, des coûts indirects dus à l'indisponibilité, au temps de travail et à la perte de confiance, et des coûts consécutifs de durcissement, de migration et de reprise. Les sommes forfaitaires ne sont pas sérieuses. Ce qui est solide, c'est votre propre calcul, qui remplit chaque poste avec vos chiffres et permet ainsi de justifier la prévention.

## Le calcul que personne n'établit

Dans de nombreux tours de budget, la sécurité figure comme centre de coûts d'un côté. De l'autre côté, il n'y a rien, parce que le dommage n'est pas encore survenu. Ce n'est qu'une fois un serveur pris que l'on voit tout ce qui s'additionne, et c'est le plus souvent davantage que la facture du prestataire.

Cette semaine, PHP2Shell a contraint de nombreuses entreprises à arbitrer : mettre le site hors ligne immédiatement, comme le BSI (office fédéral allemand de la sécurité des technologies de l'information) l'a recommandé pour les systèmes impossibles à corriger, ou le laisser tourner ? Cette décision est elle aussi une question de coûts. Celui qui sait ce que coûte une journée d'indisponibilité et ce que pourrait coûter une intrusion décide plus sereinement. Selon les médias, la ville de Mayence a par exemple mis son portail web central hors ligne par précaution ; les services sont restés joignables par téléphone et par e-mail. Une telle indisponibilité a elle aussi un prix, mais un prix prévisible.

## Les coûts d'une cyberattaque en un coup d'œil

L'état suivant énumère les postes typiques. Tous ne se présentent pas pour chaque incident, mais chacun devrait être examiné.

| Groupe | Poste de coûts | De quoi il dépend |
|---|---|---|
| Direct | traitement de l'incident et aide technique d'urgence | durée, nombre de systèmes, heure |
| Direct | analyse forensique et conservation des preuves | étendue, besoin d'une documentation recevable en justice |
| Direct | nettoyage ou reconstruction des serveurs | état des sauvegardes, documentation |
| Direct | conseil juridique et conseil en protection des données | obligations de notification, contrats, demandes |
| Direct | information des personnes concernées, service client | nombre de personnes concernées, canaux |
| Indirect | perte de chiffre d'affaires pendant l'arrêt | dépendance au système, durée |
| Indirect | temps de travail interne de la direction, de l'informatique, de la vente | préparation, clarté des rôles |
| Indirect | perte de visibilité dans les moteurs de recherche | avertissements, spam injecté |
| Indirect | envoi d'e-mails bloqué | utilisation abusive du serveur pour du spam |
| Indirect | perte de confiance des clients et partenaires | communication, nature des données |
| Consécutif | durcissement, surveillance, nouveaux processus | état initial |
| Consécutif | migration de logiciels obsolètes | par ex. PHP 8.1 et antérieur |
| Consécutif | adaptations contractuelles avec les prestataires | dispositions existantes |
| Consécutif | éventuelles demandes de tiers ou amendes | cas particulier, évaluation juridique |

## Coûts directs : ce qui figure sur les factures

Les coûts directs sont les plus faciles à saisir, car ils arrivent sous forme de facture. Il s'agit de l'aide technique, de l'analyse forensique, du nettoyage et du conseil. Leur ampleur dépend fortement de la préparation. S'il existe un inventaire à jour, des sauvegardes testées et des journaux conservés, l'analyse va plus vite. Sinon, une partie du travail devient une recherche de traces sur les bases. Ce que comprend une enquête approfondie est décrit dans [Analyse forensique informatique après une attaque de serveur web](https://phpsos.de/fr/leistungen/it-forensik/).

S'y ajoutent des postes auxquels on ne pense pas d'abord : les heures supplémentaires de prestataires externes le week-end, un serveur de remplacement pour la période transitoire, ou l'impression et l'envoi de courriers lorsque les personnes concernées doivent être informées ainsi.

## Coûts indirects : ce qui ne figure pas sur les factures

Les coûts indirects sont souvent plus élevés et plus difficiles à saisir. La perte de chiffre d'affaires d'une boutique se déduit de vos propres chiffres. Le temps de travail de la direction, de l'informatique, de la vente et du service client, en revanche, est rarement relevé, alors qu'un incident mobilise de nombreuses personnes pendant des jours.

Deux conséquences touchent particulièrement les sites web. Si Google trouve du code malveillant, un avertissement peut dissuader les visiteurs jusqu'à ce que le nettoyage soit confirmé ; comment le faire retirer est expliqué dans [Supprimer l'avertissement de Google](https://phpsos.de/fr/ratgeber/google-warnung-entfernen/). Si le serveur est détourné pour du spam, les e-mails de l'entreprise se retrouvent sur des listes de blocage et n'atteignent plus les clients. Les deux effets durent souvent encore des semaines après le nettoyage technique.

## Coûts consécutifs : ce qui vient après le nettoyage

Quand le serveur est de nouveau propre, la facture n'est pas close. Presque tout incident met au jour des manquements qu'il faut maintenant rattraper : durcissement des serveurs, une surveillance qui alertera plus tôt à l'avenir, des sauvegardes testées, de nouveaux accès pour tous les intervenants. Si un système tourne sous PHP 8.1 ou plus ancien, pour lequel il n'existe plus de mises à jour officielles, une migration s'impose souvent, qui aurait de toute façon été due, mais désormais sous la pression du temps.

S'ajoutent des coûts consécutifs organisationnels. Les contrats avec l'hébergeur et l'agence sont révisés, le plan d'urgence adapté, les collaborateurs formés. Certains de ces postes sont des investissements judicieux qui auraient été moins chers sans l'incident. C'est précisément l'argument en faveur de la prévention.

## Établir votre propre calcul

Plutôt que des statistiques extérieures, un calcul avec vos propres chiffres aide. Voici comment procéder :

1. **Désigner les systèmes critiques :** quels sites, boutiques et portails portent le chiffre d'affaires ou des processus ?
2. **Estimer le coût d'indisponibilité par jour :** à partir des données de chiffre d'affaires, des commandes reçues ou du temps de travail qui ne peut être fourni sans le système.
3. **Chiffrer les heures internes :** qui serait mobilisé, et combien de temps ? Valoriser avec les taux horaires internes.
4. **Se renseigner sur les postes directs :** obtenir des offres-cadres de prestataires pour l'aide d'urgence et l'analyse forensique.
5. **Rapprocher la couverture d'assurance :** quels postes la police couvre-t-elle, quelles franchises et conditions s'appliquent ?
6. **Comparer avec la prévention :** que coûtent par an l'inventaire, le processus de correctifs, les sauvegardes, la surveillance et la maintenance ?

> **Astuce:**
> Calculez avec une fourchette plutôt qu'avec un chiffre : un incident découvert le jour même et un autre qui ne se remarque qu'après des semaines. La différence montre ce que vaut une détection précoce.

La question de savoir si une cyberassurance prend en charge certains postes relève exclusivement de vos conditions d'assurance ; des indications sur les obligations typiques figurent dans [Cyberassurance : ce qui compte en cas de sinistre](https://phpsos.de/fr/compliance/cyberversicherung/). D'éventuelles demandes de tiers, pénalités contractuelles ou amendes ne peuvent pas être chiffrées à l'avance ; c'est une question juridique pour l'avocat et le délégué à la protection des données. Cette page ne constitue pas un conseil juridique.

## Comment PHP SOS aide-t-il concrètement ?

- Nous désignons avec vous les systèmes critiques et montrons quels postes de coûts s'y présenteraient de façon réaliste lors d'un incident.
- Nous vérifions dans quelle mesure les sauvegardes, les journaux et l'inventaire sont préparés, car les coûts directs en dépendent fortement.
- Nous établissons une offre écrite pour la prévention, que vous pouvez comparer à votre propre calcul.
- Nous assurons une prévention durable par un [contrat de maintenance de sécurité](https://phpsos.de/fr/leistungen/security-wartungsvertrag/) au périmètre clairement décrit.

**Conclusion :** les postes les plus coûteux d'un piratage figurent rarement sur une facture. Celui qui les rend visibles à l'avance avec ses propres chiffres peut justifier la prévention et décider plus vite en cas de crise.


## Questions fréquentes

**Combien coûte une cyberattaque à une entreprise ?**  
On ne peut pas y répondre de façon forfaitaire. Les coûts dépendent de la nature et de la durée de l'incident, des données concernées, de la dépendance au système et de la préparation. Seul un état des postes de coûts que vous remplissez avec vos propres chiffres est sérieux.

**Quels coûts une cyberassurance prend-elle en charge ?**  
Les conditions d'assurance de votre contrat le déterminent. Il s'agit souvent des coûts de traitement de l'incident, de l'interruption d'activité et de certains cas de responsabilité, chacun avec des conditions et des obligations. Clarifiez l'étendue au préalable avec votre assureur ou votre courtier.

**Quels coûts sont le plus souvent négligés ?**  
Le temps de travail interne, les semaines qui suivent l'incident, les conséquences pour l'envoi d'e-mails et les moteurs de recherche, ainsi que le coût de mesures qui auraient en réalité déjà dû être prises auparavant, comme la migration d'une version obsolète de PHP.

**Peut-on chiffrer à l'avance des amendes ou des dommages-intérêts ?**  
Non. L'existence et le montant de telles demandes dépendent du cas particulier et relèvent d'une question juridique. Le délégué à la protection des données et l'avocat sont compétents pour une évaluation ; cette page ne constitue pas un conseil juridique.

## Sources

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (socle de sécurité informatique)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [Aide de Google Search Console](https://support.google.com/webmasters/)