Avant de créer un compte ou d’effectuer un paiement, l’internaute peut consulter le prix, les avis clients et les conditions du service. Il dispose en revanche de peu d’informations sur la manière dont une plateforme protège ses données.
Le cyberscore veut corriger cette asymétrie en présentant le niveau de cybersécurité d’un service sous une forme simple et colorée.
L’idée est séduisante. Mais le dispositif français n’est pas encore opérationnel : la loi existe, tandis que ses textes d’application restent attendus.
Qu’est-ce que le cyberscore ?
Le cyberscore est un projet français de certification destiné au grand public. Créé par une loi adoptée en mars 2022, il est inscrit dans le Code de la consommation.
Les services concernés devraient faire réaliser un audit portant sur leur propre sécurité, la protection des données qu’ils hébergent et la localisation de ces données. Le résultat devrait être présenté clairement, accompagné d’un système visuel coloré.
Il ne s’agirait donc pas d’un badge choisi par l’entreprise. L’évaluation devrait reposer sur un audit réalisé par un prestataire qualifié par l’Agence nationale de la sécurité des systèmes d’information.
Tous les sites web seront-ils concernés ?
Non. Parler du « cyberscore des sites web » est pratique, mais juridiquement imprécis.
Le texte vise principalement les plateformes en ligne, moteurs de recherche, comparateurs et certains services de communication comme les messageries ou la visioconférence. Seuls les acteurs dépassant des seuils d’activité fixés par décret devraient être soumis à l’obligation.
Le périmètre exact dépend toutefois d’un décret qui n’a pas été publié. Le cyberscore n’a pas été conçu comme un contrôle universel d’Internet, mais comme une obligation de transparence imposée aux services les plus importants.
Pourquoi créer un tel indicateur ?
Un consommateur peut difficilement évaluer la sécurité d’une plateforme.
Une interface moderne, un cadenas dans le navigateur ou une marque connue ne permettent pas de savoir comment les accès internes sont protégés, si les systèmes sont régulièrement audités ou dans quels pays les données sont hébergées.
Les politiques de confidentialité, longues et peu comparables, renseignent surtout sur l’utilisation des données, pas sur leur protection technique.
Le cyberscore cherche donc à transformer une matière complexe en information accessible avant l’inscription ou l’achat. Il veut faire de la cybersécurité un critère de choix, au même titre que le prix ou la qualité du service.
Que pourrait mesurer l’audit ?
La loi fixe les grandes catégories, mais pas encore la grille définitive.
L’audit doit examiner la sécurisation du service, la protection des données hébergées et leur localisation. La méthode, la durée de validité du résultat et son affichage doivent être définis par un arrêté.
Une évaluation crédible pourrait tenir compte de la gestion des accès, du chiffrement, de la correction des vulnérabilités, de la surveillance des incidents, des sauvegardes et de la sécurité des prestataires.
Mais une plateforme peut être excellente sur le chiffrement et faible sur la récupération des comptes. Réduire cette complexité à une couleur unique exige donc des choix difficiles. La note devra rester compréhensible sans devenir trompeuse.
Pourquoi la localisation des données compte-t-elle ?
La localisation ne mesure pas directement le risque de piratage. Un serveur situé en France n’est pas automatiquement mieux protégé qu’un serveur installé ailleurs.
Elle indique toutefois les territoires et les cadres juridiques auxquels les données peuvent être exposées. Elle renseigne aussi sur les prestataires utilisés et sur certaines dépendances techniques.
Le cyberscore ne devrait donc pas opposer simplement les données « nationales » aux données « étrangères ». La localisation doit être distinguée du niveau de sécurité technique.
Où en est le projet en 2026 ?
C’est le principal point à ne pas masquer : le cyberscore français n’est pas aujourd’hui un indicateur couramment affiché sur les grandes plateformes.
La loi avait prévu une entrée en vigueur en 2023. Son mécanisme dépend cependant de deux textes : un décret définissant les seuils d’activité et un arrêté fixant les critères, la validité de l’audit et la présentation du résultat.
Ces textes n’ont pas été publiés. Un rapport gouvernemental a indiqué que le décret avait été suspendu en raison de difficultés avec le droit européen, notamment pour imposer une obligation française à des plateformes établies dans d’autres États membres.
Le projet reste inscrit dans le Code de la consommation, mais son déploiement concret demeure bloqué. Employer le mot « bientôt » comme s’il existait un calendrier assuré serait excessif.
En quoi serait-il différent des avis clients ?
Les avis décrivent une expérience : qualité du support, rapidité, ergonomie ou satisfaction générale.
Ils ne permettent presque jamais d’évaluer sérieusement la cybersécurité. Un utilisateur peut attribuer cinq étoiles à un service agréable alors que celui-ci protège mal ses données. À l’inverse, une entreprise solide techniquement peut être mal notée pour un problème commercial.
Le cyberscore serait fondé sur une évaluation technique encadrée, non sur une impression individuelle. Il compléterait donc les avis sans les remplacer.
Son influence pourrait devenir importante pour les services qui manipulent des informations sensibles.
Quel impact pour les internautes ?
Le premier bénéfice serait la comparaison. Face à deux services similaires, un utilisateur pourrait privilégier celui qui présente de meilleures garanties.
Le deuxième effet serait économique. Une mauvaise note visible pourrait pousser une entreprise à corriger ses faiblesses. La sécurité deviendrait un élément de concurrence, et non seulement une dépense interne invisible.
Le droit prévoit des sanctions financières en cas de manquement à l’obligation d’information. Mais tant que les textes d’application n’ont pas défini le périmètre et la méthode, ce mécanisme reste largement théorique pour le cyberscore.
Un bon score garantirait-il l’absence de piratage ?
Non. Aucun audit ne peut garantir qu’un service ne sera jamais compromis.
Une évaluation décrit un niveau de maîtrise à un moment donné. Une vulnérabilité, une erreur humaine ou un prestataire compromis peut ensuite modifier la situation.
Le résultat devra donc être daté, renouvelé et expliqué. Un simple feu vert permanent créerait une fausse impression de sécurité.
Le score ne dira pas non plus nécessairement si le modèle économique respecte la vie privée. Une plateforme peut être bien sécurisée tout en collectant trop de données. Cybersécurité et protection de la vie privée sont liées, mais différentes.
Quels sont les risques d’un indicateur trop simple ?
Un mauvais cyberscore pourrait devenir trompeur s’il masque les différences importantes derrière une note globale.
Les entreprises pourraient chercher à optimiser uniquement les critères évalués. Les utilisateurs pourraient interpréter une bonne couleur comme une garantie absolue. Une note ancienne pourrait rester affichée alors que l’infrastructure a changé.
La transparence sera donc déterminante. Le public devra connaître la date de l’audit, son périmètre et la signification exacte du résultat.
Il faudra aussi éviter les comparaisons artificielles. Une messagerie, un moteur de recherche et un comparateur ne traitent ni les mêmes données ni les mêmes risques.
Le cyberscore peut-il devenir aussi important que les avis clients ?
Il le pourrait, mais seulement avec une méthode crédible, un affichage compréhensible et une application suffisamment large.
Les avis répondent à la question : « Les clients sont-ils satisfaits ? » Le cyberscore répondrait à une autre : « Cette plateforme maîtrise-t-elle correctement les risques liés à mes données ? »
Pour certains services, cette seconde question devrait peser davantage que quelques dixièmes de point dans une moyenne d’avis.
Mais le cyberscore reste aujourd’hui une promesse juridique inachevée. Son idée est pertinente et le besoin réel, mais son calendrier demeure incertain.
Sa réussite dépendra de la qualité de l’audit, de la fréquence des mises à jour et de la capacité à expliquer ce que le score mesure — et surtout ce qu’il ne mesure pas.
Un indicateur utile ne doit pas simplement rassurer. Il doit permettre de choisir en connaissance de cause.
