J'ai audité 41 sites de transporteurs et logisticiens du Grand Est

Depuis que ce blog existe, j'écris des phrases comme « beaucoup de PME du transport n'ont pas de mentions légales conformes » ou « les sauvegardes ne sont presque jamais testées ». Ce sont des affirmations d'expérience, et l'expérience a un défaut : elle est invérifiable, y compris par moi.

Alors j'ai compté.

Le 6 août 2026, j'ai relevé l'état technique de 41 sites d'entreprises de transport routier de fret et d'organisation du transport du Grand Est, toutes entre 10 et 199 salariés. Uniquement de l'observation passive : les pages publiques telles qu'un visiteur les reçoit, et les enregistrements DNS publics. Aucun test d'intrusion, aucun scan de ports, rien qui sorte de ce que fait n'importe quel navigateur.

Voici les résultats, dans l'ordre où ils m'ont surpris. Et d'abord la méthode, parce qu'un chiffre sans méthode ne vaut rien.

Comment le panel a été construit

Le point de départ est la base publique des entreprises (SIRENE, via l'API de l'État) : codes d'activité du transport routier de fret de proximité et interurbain, de l'entreposage et de la messagerie-affrètement, dans les dix départements du Grand Est, tranches d'effectif de 10 à 199 salariés. Cela donne 756 entreprises dont le siège est dans la région.

Ces bases ne contiennent pas les sites web. Il a donc fallu les retrouver : pour chaque raison sociale, générer les noms de domaine plausibles, garder ceux qui répondent dans le DNS, puis charger la page d'accueil et ne conserver le rattachement que si le contenu de la page cite l'entreprise et son activité ou sa commune. Ce filtre laisse 91 sites. Après suppression des doublons — plusieurs sociétés d'un même groupe partagent un site — et des domaines trop génériques pour être attribués avec certitude, il reste le panel final de 41 sites distincts, répartis principalement sur les Ardennes, l'Aube, la Marne et le Haut-Rhin.

Une précision sur la composition finale : 24 de ces entreprises relèvent du fret interurbain, 10 du fret de proximité, 7 de l'affrètement et de l'organisation des transports. Les codes de l'entreposage et de la messagerie figuraient bien dans la base de départ, mais aucun site d'entrepositaire pur n'a survécu au filtre de rattachement — un métier qui vend peu en ligne et communique donc peu. Le relevé décrit le transport et la commission de transport, pas l'entreposage.

Les trois limites, dites tout de suite

Ce n'est pas un échantillon représentatif. La méthode retrouve les sites dont le domaine dérive du nom de l'entreprise. Elle rate systématiquement ceux qui ont choisi un nom commercial sans lien avec leur raison sociale — et ceux-là ont plutôt tendance à avoir été accompagnés par un prestataire, donc à être en meilleur état. Le biais joue probablement en faveur d'un panel un peu plus soigné que la réalité, pas l'inverse.

41, c'est peu. Un écart de deux sites déplace un pourcentage de cinq points. Ces chiffres sont des ordres de grandeur, pas des statistiques. Je les écris en fractions plutôt qu'en pourcentages pour que ce soit visible.

L'observation est superficielle par construction. Je vois la page d'accueil, les pages légales liées depuis elle, et le DNS. Je ne vois pas les extensions non affichées, les comptes d'administration, l'état des sauvegardes. Tout ce qui suit est donc un plancher : les problèmes réels sont au moins ceux-là.

Enfin, je ne publie ni les noms ni les URL. Un relevé nominatif de faiblesses techniques, sur des entreprises identifiables, c'est une liste de cibles. Les agrégats suffisent à faire le point, et la méthode est décrite assez précisément pour que n'importe qui la refasse.

1. Le HTTPS est réglé. Tout le reste ne l'est pas

Bonne nouvelle d'abord : 40 des 41 sites sont accessibles en HTTPS. Le cadenas est un combat gagné, ce qui n'était pas le cas il y a cinq ans.

Sauf que le détail est moins flatteur. Six sites ne redirigent pas l'adresse en http:// vers sa version sécurisée : le certificat existe, mais un visiteur qui tape le domaine sans préfixe — ou qui suit un ancien lien, ou une signature d'e-mail de 2018 — reste en clair. Et un site du panel n'a tout simplement pas de HTTPS du tout.

Le vrai trou est ailleurs. Sur les en-têtes de sécurité, ceux qui coûtent trois lignes de configuration :

Vingt-huit sites sur 41 n'en envoient aucun. Zéro. Et les quatre sites les mieux configurés en ont quatre sur six — personne n'a la liste complète.

Il faut garder la mesure : ces en-têtes ne sont pas ce qui empêche un piratage. Ils réduisent la surface d'exploitation quand une faille existe ailleurs. Mais ce sont les réglages les moins chers de tout l'inventaire, et leur absence quasi générale dit surtout une chose : la configuration du serveur n'a jamais été relue depuis l'installation. C'est ça, l'information.

2. WordPress, et ce qu'il raconte de lui-même

Dix-sept sites sur 41 tournent sous WordPress, soit un gros tiers du panel. C'est cohérent avec ce qu'on observe partout, et ce n'est pas un problème en soi — WordPress correctement tenu est un choix parfaitement défendable.

Ce qui m'intéresse, c'est ce qu'ils affichent sans le savoir :

• Douze sites annoncent leur numéro de version exact dans le code de la page.
• Seize exposent le nom de leurs extensions dans les chemins de fichiers.
• Deux sites tournent encore sur une branche 5.2, sortie en 2019.

Sur ce dernier point, soyons précis plutôt qu'alarmistes : les branches anciennes de WordPress continuent de recevoir des correctifs de sécurité rétroportés, et les deux versions relevées sont bien des versions corrigées. Le problème n'est pas là. Le problème, c'est ce que ça implique : un site qui n'a pas changé de branche majeure depuis six ans n'a pas non plus mis ses extensions à jour, et c'est par les extensions que passent l'essentiel des compromissions. Ces deux sites n'avaient d'ailleurs, ni l'un ni l'autre, de page de mentions légales ni de protection de leur messagerie. Le retard est rarement isolé.

Afficher sa version et la liste de ses extensions, ce n'est pas une faille. C'est faire gagner du temps à celui qui cherche : au lieu de tester, il consulte. Si vous voulez la suite de l'histoire, elle est dans ce qu'il faut faire quand un site WordPress est piraté, et dans ce que coûte réellement le nettoyage.

3. Les mentions légales : l'écart le plus large

C'est ici que le relevé est le plus sévère, et c'est aussi l'obligation la plus simple à remplir.

Vingt et un sites sur 41 n'ont aucun lien vers des mentions légales depuis leur page d'accueil. Précision honnête : la page existe peut-être ailleurs sur le site. Mais l'obligation est justement qu'elle soit accessible depuis n'importe quelle page — donc l'absence de lien est déjà le manquement.

Sur les vingt sites qui en ont une, j'ai regardé ce qu'elle contient réellement :

Autrement dit : douze des vingt pages de mentions légales ne contiennent même pas le numéro d'identification de l'entreprise. Ce sont des pages de façade, souvent recopiées d'un modèle, parfois d'un autre site.

Côté données personnelles, le tableau est du même ordre : vingt-sept sites sur 41 n'ont pas de politique de confidentialité liée depuis l'accueil, et dix-huit n'ont ni mentions légales ni politique de confidentialité. Neuf sites mentionnent la CNIL, dix rappellent les droits des personnes.

Au total, dix sites sur 41 réunissent les trois fondamentaux : HTTPS forcé, mentions légales, politique de confidentialité. Un quart du panel. Le détail de ce qui est réellement obligatoire — et de ce qui ne l'est pas, malgré ce qu'on vous vend — est dans les six obligations RGPD d'un site vitrine.

4. Le bandeau cookies : deux erreurs symétriques

Dix-sept sites chargent au moins un service tiers qui demande un consentement : Google Tag Manager pour quatorze d'entre eux, la balise Google (gtag) pour treize, deux lecteurs YouTube intégrés.

Parmi eux, neuf n'ont aucun outil de consentement. Le traceur se dépose sans avoir rien demandé à personne. C'est exactement le manquement que la CNIL contrôle de manière proactive, et le seul point du RGPD sur lequel une PME de trente personnes a une probabilité non nulle d'être sanctionnée.

Mais l'erreur inverse existe aussi, et elle m'a plus étonné : sept sites affichent un bandeau de consentement alors que je n'ai détecté chez eux aucun traceur qui en réclame un. Ils ont installé — ou payé — un dispositif dont ils n'ont pas besoin, et qui dégrade la première seconde de visite de chaque prospect pour rien. Personne n'a fait l'inventaire avant de poser le bandeau. Comment s'en sortir dans un sens comme dans l'autre : bandeau cookies conforme CNIL.

Un détail à part : dix-sept sites chargent des polices depuis les serveurs de Google. Ce n'est pas un traceur au sens strict, mais c'est un transfert de l'adresse IP du visiteur vers un tiers, et il a déjà valu des condamnations en Europe. C'est aussi le point le plus facile à corriger de tout cet article : les polices se rapatrient localement, on y gagne même en vitesse d'affichage.

5. La faille que personne ne regarde : votre messagerie

Voilà le résultat que je ne cherchais pas, et celui qui compte le plus pour un transporteur.

Un nom de domaine peut être configuré pour empêcher qu'on envoie des e-mails en se faisant passer pour lui. Deux enregistrements DNS suffisent : SPF, qui déclare quels serveurs peuvent expédier en votre nom, et DMARC, qui dit aux boîtes de réception quoi faire des messages qui échouent au contrôle. C'est gratuit, c'est du texte, cela se met en place en une heure.

Sur les 41 domaines :

• Vingt-quatre n'ont aucun enregistrement DMARC. Aucune instruction : chaque messagerie décide seule.
• Sur les dix-sept restants, huit sont en p=none — une politique d'observation qui ne bloque rien.
• Neuf domaines sur 41 appliquent réellement une politique de rejet ou de mise en quarantaine.
• Quatre domaines n'ont ni SPF ni DMARC : n'importe qui peut écrire depuis leur adresse.

Trente-deux domaines sur quarante et un sont donc usurpables en pratique. Il faut comprendre ce que ça veut dire dans ce métier précis.

Un transporteur reçoit et envoie toute la journée des messages qui déclenchent des mouvements physiques et des paiements : un ordre de transport, un changement d'adresse de livraison de dernière minute, un avis de nouvelles coordonnées bancaires du sous-traitant. Un domaine usurpable, c'est la possibilité d'envoyer au client, depuis l'adresse de l'exploitation, un e-mail parfaitement crédible — bon en-tête, bonne signature, bon ton — qui détourne une livraison ou un virement. Ce n'est pas du piratage informatique, c'est de l'escroquerie documentaire, et elle ne laisse aucune trace dans vos systèmes puisqu'elle ne les touche pas.

Et l'attaque marche dans les deux sens : c'est aussi votre service comptable qui reçoit un faux message d'un vrai client. C'est le prolongement direct de ce qui se passe en entrepôt quand l'informatique tombe — sauf qu'ici, rien ne tombe. C'est ce qui rend la chose difficile à voir.

Si vous ne retenez qu'une action de tout cet article, prenez celle-là. Elle est gratuite et se traite avant la fin de la semaine.

6. Où c'est hébergé, et depuis quand ça n'a pas bougé

Vingt et un sites sur 41 sont hébergés chez OVH : la moitié du panel chez un seul fournisseur. Le reste se disperse entre Gandi, Infomaniak, Hetzner, Ecritel, Adista, Hexanet, Amazon et quelques hébergeurs hors de France. Côté messagerie, onze domaines sont sur Microsoft 365 et dix sur les serveurs d'OVH.

Cette concentration n'est pas un défaut en soi — OVH est un bon hébergeur, et le datacenter de Strasbourg a d'ailleurs appris à toute la profession que le fournisseur n'est jamais la question. La question est de savoir où sont vos sauvegardes quand votre site et votre messagerie sont chez le même prestataire, dans la même région. Le calcul complet est dans le vrai prix d'un hébergement d'entreprise.

Dernier indice, plus prosaïque : l'année affichée en pied de page. Vingt-trois sites n'en affichent aucune ; parmi les dix-huit qui en affichent une, huit sont restées à 2023 ou avant — dont une à 2010. Ce n'est pas grave en soi, mais c'est le signal le plus fiable que j'aie trouvé pour repérer un site que plus personne ne touche : quand le pied de page a seize ans de retard, le reste suit. La question qui vient ensuite est traitée ici : refondre ou réparer.

Le récapitulatif

Les quatre actions que je tirerais de ce relevé

Dans cet ordre, parce que c'est l'ordre du rapport effet/effort :

1. Protéger le domaine contre l'usurpation. SPF puis DMARC, en commençant en observation avant de durcir. Coût : zéro, une heure de travail chez qui gère votre DNS. C'est la mesure la plus rentable de la liste, et 24 entreprises sur 41 ne l'ont pas.

2. Écrire de vraies mentions légales. Raison sociale, forme juridique, capital, RCS, SIREN, TVA, siège, directeur de la publication, hébergeur, contact. Une demi-heure, un lien en pied de page sur toutes les pages. C'est la conformité la moins chère qui existe.

3. Faire l'inventaire des traceurs avant de parler bandeau. Listez ce que votre site charge réellement. Puis soit vous supprimez ce qui ne sert à rien — souvent la moitié —, soit vous posez un dispositif de consentement correct. Les deux erreurs du panel viennent de l'absence d'inventaire, pas du choix de l'outil.

4. Reprendre la configuration du serveur et les mises à jour. Redirection HTTPS systématique, en-têtes de sécurité, version du CMS masquée, extensions à jour, sauvegardes restaurables. C'est le seul point qui demande un vrai prestataire.

Ce que ce relevé ne dit pas

Il ne dit pas que ces entreprises travaillent mal. La plupart de ces sites appartiennent à des sociétés solides, qui tournent bien, avec des flottes entretenues et des clients fidèles depuis vingt ans. Le site a été fait une fois, il a rempli sa fonction, et personne n'a eu de raison d'y revenir. C'est rationnel.

Il ne dit pas non plus qu'il faut tout refaire. Aucun des problèmes relevés ne se règle par une refonte. Les mentions légales, le DMARC, la redirection HTTPS, l'inventaire des traceurs : ce sont des heures de travail, pas des projets. Le seul cas où la refonte s'impose, c'est quand le socle est si ancien qu'on ne peut plus y toucher — et ça concerne une poignée de sites du panel, pas la majorité.

Ce qu'il dit, en revanche, c'est que l'écart entre ce qu'un donneur d'ordre exige aujourd'hui dans son questionnaire fournisseur et ce que ces sites peuvent démontrer est très large. Dix entreprises sur 41 pourraient répondre proprement à la première page d'un tel questionnaire. C'est ce chiffre-là qui devrait décider les autres à agir : pas la peur de la CNIL, la perte d'un marché.

Je refais ce relevé dans six mois, sur le même panel, avec la même méthode. Ce sera plus intéressant que la première fois : on verra ce qui bouge tout seul, et ce qui ne bouge jamais.