Le 21 octobre 2026, l’actualité technique française est dominée par une alerte de sécurité d’une ampleur inhabituelle : deux vulnérabilités critiques affectent le langage PHP, qui fait fonctionner une part immense des sites marchands, des boutiques en ligne, des espaces clients et des sites vitrines des entreprises. Selon les informations rapportées par la presse spécialisée, l’équipe du langage devait publier un correctif hors cycle le 21 octobre à 14 h 00 UTC, pour deux failles notées 9,2 sur 10 sur l’échelle CVSS v4.0, tandis que des responsables européens de la cybersécurité recommandaient aux organisations incapables d’appliquer les correctifs de mettre leurs sites hors ligne. Pour une entreprise dont le site encaisse des commandes, stocke des comptes clients ou traite des paiements, la question n’est plus théorique : que faire dans les prochaines heures, comment protéger les données des clients, et quelles responsabilités encourt le dirigeant qui tarde à réagir. Cet article décrit la méthode, les notifications imposées par le règlement général sur la protection des données et les recours ouverts quand des données ont été exposées.
I. PHP faille de sécurité : votre site marchand est-il exposé à l’exécution de code à distance
La gravité de l’alerte tient à la nature des failles et à la diffusion du langage. D’après le site spécialisé The Hacker News, qui suit l’affaire heure par heure, les deux vulnérabilités permettraient une exécution de code à distance, c’est-à-dire la possibilité pour un attaquant d’exécuter ses propres instructions sur le serveur qui héberge le site. Le même site précise que seules les quatre branches maintenues du langage, de la version 8.2 à la version 8.5, peuvent recevoir le correctif, et qu’aucune exploitation n’avait été constatée au moment de sa publication. L’agence Reuters rapporte de son côté que la société GoDaddy évoque un risque de vol de données ou de prise de contrôle du site, et que la société Huntress rappelle que PHP fait fonctionner des pans entiers du web, y compris des sites construits avec WordPress, Drupal ou Joomla. Enfin, Reuters indique que des responsables européens de la cybersécurité ont averti que les organisations incapables d’appliquer les correctifs devraient mettre les sites concernés hors ligne. Ces faits, rapportés par la presse le 20 et le 21 octobre 2026, n’établissent ni qu’une intrusion a eu lieu sur un site déterminé, ni qu’un dommage a été subi, ni qu’une responsabilité est engagée : ils décrivent un risque documenté qui impose une réaction méthodique, et seul le juge, saisi d’un litige précis, pourrait qualifier une situation individuelle.
A. Faille PHP 2026 : quelles versions corriger et faut-il couper le site
La première vérification porte sur la version du langage qui exécute le site. Puisque seules les branches 8.2, 8.3, 8.4 et 8.5 peuvent recevoir le correctif publié le 21 octobre, selon les informations rapportées par The Hacker News, un site maintenu sur une branche antérieure, qui ne reçoit plus de mises à jour de sécurité, reste exposé après cette date. Le dirigeant doit donc demander à son hébergeur ou à son prestataire de maintenance, par écrit, quelle version exacte exécute le site de l’entreprise, si le correctif du 21 octobre a été appliqué, et à quelle heure. Cette demande écrite n’est pas une formalité : elle constitue la première pièce du dossier de preuve de la diligence de l’entreprise, utile devant l’assureur, devant la Commission nationale de l’informatique et des libertés et, le cas échéant, devant le juge.
La deuxième décision concerne la mise hors ligne temporaire. Lorsque le correctif ne peut pas être appliqué immédiatement, parce que le site dépend d’une branche obsolète, parce qu’un module essentiel est incompatible, ou parce que le prestataire est injoignable, la recommandation rapportée par Reuters prend tout son sens : les responsables européens de la cybersécurité ont indiqué que les sites non corrigés devraient être mis hors ligne. Couper un site marchand pendant quelques heures fait perdre des ventes, mais laisser en ligne un site vulnérable dont on connaît la faille expose à un reproche de négligence. Le droit européen de la protection des données éclaire ce choix : le Conseil d’État a précisé le contenu de cette exigence dans une décision du 22 juillet 2022, rendue à propos d’une faille de sécurité informatique qui avait mis en libre accès plus de cinq mille trois cents images médicales, assorties des nom, prénom et date de naissance des patients : il y rappelle que le 1 de l’article 32 du règlement européen sur la protection des données « dispose que : » Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : / a) la pseudonymisation et le chiffrement des données à caractère personnel ; / b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; / c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ; / d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement » » (Conseil d’État, 10e et 9e chambres réunies, 22 juillet 2022, n° 449694). Dans cette affaire, le juge a estimé, « eu égard à la sensibilité particulière de ces données de nature médicale, qu’un manquement aux exigences élémentaires en matière de sécurité informatique qui incombe à tout responsable de traitement était constitué », retenant le seul manquement à l’article 32 du règlement et ramenant la sanction pécuniaire à un montant de 2 500 euros. Maintenir sciemment en ligne un site dont la faille critique est publique et non corrigée s’accorde mal avec cette exigence de sécurité adaptée au risque. Chaque heure compte, et la décision de couper ou de maintenir le site, avec ses motifs, doit être tracée par écrit.
La troisième mesure consiste à vérifier les sauvegardes et les accès. Avant toute opération de correctif, l’entreprise s’assure qu’elle dispose d’une sauvegarde complète et restaurable du site et de la base de données, conservée hors du serveur exposé. Elle fait inventorier les comptes d’administration, révoque les accès devenus inutiles et impose la réinitialisation des mots de passe des comptes sensibles après l’application du correctif. Si des journaux de connexion montrent des requêtes anormales, des fichiers inconnus ou des comptes créés sans autorisation, ces éléments doivent être préservés tels quels, sans effacement ni modification, car ils conditionnent la suite : qualification d’une violation de données, notification à l’autorité de contrôle et dépôt de plainte. À ce stade, aucune conclusion ne peut être tirée d’un simple soupçon, et seul un examen technique permet de dire si une intrusion a réellement eu lieu.
B. CVE PHP : où trouver l’avis officiel et que transmettre à l’hébergeur
Les rumeurs vont vite pendant une alerte de sécurité, et le dirigeant doit s’appuyer sur les sources officielles plutôt que sur les messages alarmistes. Pour cette faille, les références citées par la presse spécialisée sont l’avis d’annonce publié par l’équipe du langage, qui programme la publication du correctif, et les travaux des chercheurs qui ont signalé les vulnérabilités sous embargo. Les identifiants évoqués dans les requêtes des internautes, dont « cve php » et le code CVE-2026-109618, permettent de suivre les avis des bases de vulnérabilités et des éditeurs de sécurité, mais les détails techniques restaient volontairement limités avant la publication du correctif, selon The Hacker News, afin de ne pas faciliter l’exploitation. L’entreprise n’a donc pas à comprendre la faille dans le détail : elle doit exiger de son prestataire qu’il la suive et qu’il applique le correctif dès sa disponibilité.
Le courrier adressé à l’hébergeur ou à l’agence chargée de la maintenance doit être précis et conservé. Il rappelle la date et l’heure de l’alerte publique, demande l’application immédiate du correctif de sécurité du 21 octobre 2026 sur l’environnement de l’entreprise, demande la version exacte avant et après intervention, et exige une confirmation écrite d’application ainsi qu’un rapport d’incident si des traces d’intrusion sont relevées. Ce formalisme se justifie par le partage des rôles : l’hébergeur fournit l’infrastructure, l’agence maintient souvent le code, et l’entreprise reste responsable du traitement des données de ses clients. La Cour de cassation a eu l’occasion de préciser la frontière des responsabilités des prestataires techniques dans un arrêt du 26 février 2026 rendu à propos d’un hébergeur : elle rappelle que la loi du 21 juin 2004 pour la confiance dans l’économie numérique « prévoit que les personnes physiques ou morales, qui assurent, […] pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services, peuvent voir leur responsabilité civile engagée du fait des activités ou des informations stockées à la demande d’un destinataire de ces services seulement si, dès le moment où elles ont eu connaissance de leur caractère manifestement illicite, elles n’ont pas agi promptement pour retirer ces données ou en rendre l’accès impossible » (Cour de cassation, première chambre civile, 26 février 2025, pourvoi n° 23-15.966, rejet). Cette décision concerne le retrait de contenus illicites stockés, et non le correctif de sécurité lui-même, mais elle illustre une logique constante : le prestataire technique qui, dûment alerté, n’agit pas promptement engage sa responsabilité, et l’entreprise qui l’alerte par écrit se ménage un recours contractuel. Le contenu exact des obligations de chacun dépend toutefois du contrat signé, qui prime sur toute analyse générale, et des clauses de maintenance, de sauvegarde et de sécurité qu’il contient.
Parallèlement, l’entreprise prépare la preuve de son activité pendant la période d’exposition. Extractions datées des journaux du serveur, captures des avis officiels, échanges avec le prestataire, relevés de la disponibilité du site : ces pièces serviront si des clients se plaignent d’une commande non exécutée, si l’assureur demande la démonstration des diligences, ou si l’autorité de contrôle interroge l’entreprise sur sa réaction. Le dirigeant d’une société par actions simplifiée ou d’une société à responsabilité limitée parisienne, dont la boutique en ligne constitue le principal canal de vente, a intérêt à centraliser ces pièces dès le premier jour dans un dossier d’incident unique, tenu à jour jusqu’à la résolution complète. Ce dossier ne prouve à lui seul ni l’absence d’intrusion ni l’absence de dommage, mais il démontre une gestion sérieuse, critère que les autorités et les juges examinent toujours.
II. Données clients exposées par la faille : notification, information et sanctions
Une faille critique ne signifie pas automatiquement une violation de données, et une violation de données ne signifie pas automatiquement un dommage pour les clients. Le règlement européen distingue trois étapes : la faille de sécurité, la violation de données à caractère personnel, c’est-à-dire tout incident entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles, et le risque pour les droits des personnes, qui commande les notifications. L’entreprise doit donc qualifier les faits avant d’agir : simple exposition théorique pendant quelques heures sans trace d’intrusion, ou indices concordants d’accès frauduleux aux comptes clients, aux mots de passe, aux adresses ou aux données de paiement. Cette qualification relève de l’examen technique et, en cas de doute persistant, d’un prestataire de réponse aux incidents, car une notification injustifiée affole les clients tandis qu’une notification omise expose à la sanction.
A. Violation de données et CNIL 72 heures : que notifier et que dire aux clients
Lorsque l’examen révèle une violation de données à caractère personnel, le délai court vite. Le Conseil d’État a rappelé les termes de cette obligation dans sa décision du 22 juillet 2022 : « en vertu du paragraphe 1 de l’article 33 du RGPD, » en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques » », et qu’« Aux termes du paragraphe 3 du même article : » La notification visée au paragraphe 1 doit, à tout le moins: / a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés; / b) communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues; / c) décrire les conséquences probables de la violation de données à caractère personnel; / d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives » » (Conseil d’État, 10e et 9e chambres réunies, 22 juillet 2022, n° 449694). Le point de départ de ce délai de soixante-douze heures est donc la prise de connaissance de la violation par le responsable du traitement, et non la date de la faille ni celle de l’intrusion supposée, et tout retard au-delà doit être motivé par écrit. La même logique impose au sous-traitant, hébergeur ou agence de maintenance, d’alerter le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation, ce que l’entreprise cliente exige par écrit, idéalement en l’ayant prévu au contrat.
L’information des clients obéit à un seuil distinct, plus élevé. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, c’est à la personne concernée elle-même que le responsable du traitement doit communiquer la violation, dans les meilleurs délais, en des termes clairs et simples, en reprenant les informations essentielles de la notification adressée à l’autorité. Des identifiants de connexion ou des données bancaires exposés caractérisent typiquement ce risque élevé, car ils ouvrent la voie à l’usurpation d’identité et aux paiements frauduleux, tandis qu’une simple adresse électronique figurant dans un fichier de prospection appelle une appréciation au cas par cas. La dispense principale tient à la protection préalable des données : quand des mesures techniques appropriées, tel le chiffrement, rendaient les données affectées incompréhensibles à toute personne non autorisée à y accéder, ou quand des mesures ultérieures garantissent que le risque élevé ne se matérialisera pas, l’information individuelle n’est pas exigée. Un mot de passe correctement chiffré et resté inviolé, ou des données bancaires tokenisées inexploitables, peuvent donc dispenser de l’information individuelle, à condition de pouvoir le démontrer, comme le rappelle la décision du Conseil d’État du 22 juillet 2022 qui fait de la sécurité effective la pierre de touche du raisonnement (Conseil d’État, 10e et 9e chambres réunies, 22 juillet 2022, n° 449694). En revanche, des données conservées en clair sur un serveur exposé à une faille d’exécution de code à distance rendent cette dispense difficile à soutenir.
Les clients dont les moyens de paiement auraient été utilisés à leur insu disposent d’une protection propre, indépendante du règlement européen. L’article L. 133-18 du code monétaire et financier dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (code monétaire et financier, article L. 133-18). Et il ajoute : « Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. » Le tribunal judiciaire de Toulouse a appliqué cette règle dans un jugement du 19 mars 2026 opposant un client à sa banque à propos d’opérations contestées. Mais le client doit aussi agir vite : l’article L. 133-24 du même code dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III » (code monétaire et financier, article L. 133-24). L’entreprise avisée insère donc dans son message aux clients exposés une invitation explicite à surveiller leurs comptes et à signaler sans tarder toute opération suspecte à leur banque : ce conseil protège le client et réduit le préjudice global dont l’entreprise pourrait avoir à répondre.
B. Préjudice des clients et sanctions : réparation, amende et plainte pénale
Le client dont les données ont été exposées peut demander réparation, mais il doit prouver un dommage réel. La Cour de cassation l’a rappelé dans un arrêt du 24 juin 2026 : visant l’article 82, paragraphe 1, du règlement (UE) 2016/679, elle énonce qu’« Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (Cour de cassation, chambre sociale, 24 juin 2026, pourvoi n° 24-22.792). La même décision reprend l’interprétation de la Cour de justice de l’Union européenne, selon laquelle « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » et qui « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ». Concrètement, le client qui invoque l’angoisse d’une usurpation d’identité, des démarches de surveillance de ses comptes ou des débits frauduleux doit démontrer l’existence et l’étendue de son préjudice par des pièces : relevés bancaires, attestations, frais engagés. Une simple exposition théorique, sans conséquence établie, n’ouvre pas droit à indemnisation automatique. Pour l’entreprise, cela signifie que chaque demande d’indemnisation s’examine pièce par pièce, et que les demandes forfaitaires sans justificatif peuvent être contestées.
Sur le terrain contractuel, l’entreprise dont le site est resté indisponible ou dont les commandes n’ont pas été exécutées répond en principe de l’inexécution envers ses clients. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (code civil, article 1231-1). L’entreprise qui invoque la cyberattaque comme un cas de force majeure doit donc prouver l’imprévisibilité et l’irrésistibilité de l’événement dans sa situation propre, et cette preuve s’apprécie au cas par cas par le juge : une faille publique, documentée, pour laquelle un correctif existait et que l’entreprise a tardé à appliquer, se défend mal comme un événement irrésistible, tandis qu’une attaque d’un type inédit, intervenue malgré des mises à jour à jour et des mesures de sécurité conformes à l’état de l’art, se discute autrement. Dans tous les cas, le contrat signé avec le client, conditions générales de vente comprises, prime sur toute analyse générale, et ses clauses de limitation ou d’exonération s’appliquent dans les limites que la loi leur assigne. Hors contrat, l’article 1240 du code civil rappelle le principe général : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (code civil, article 1240), ce qui suppose toujours une faute, un dommage et un lien entre les deux.
L’entreprise victime d’une intrusion n’est pas démunie face aux attaquants, et la voie pénale complète le dispositif civil. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (code pénal, article 323-1), avec des peines aggravées lorsque l’intrusion a entraîné la suppression ou la modification de données ou l’altération du fonctionnement du système. L’article 323-3 du même code ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (code pénal, article 323-3). Et lorsque les données volées sont exploitées, l’article 226-18 du code pénal dispose : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (code pénal, article 226-18). Le dépôt de plainte, avec constitution de partie civile et production du dossier d’incident, permet à l’entreprise de faire constater l’infraction par l’autorité judiciaire et de demander réparation aux auteurs s’ils sont identifiés. Il ne garantit ni l’identification des attaquants ni l’indemnisation, et il ne remplace ni la notification à l’autorité de contrôle ni l’information des clients, mais il interrompt utilement toute accusation d’inertie.
Reste la sanction administrative, qui frappe l’entreprise négligente indépendamment des plaintes des clients. Le Conseil d’État, dans une décision du 6 décembre 2023 qui rejette le recours d’une société condamnée par la CNIL à 175 000 euros d’amende, rappelle le régime applicable : en vertu du 7° du III de l’article 20 de la loi du 6 janvier 1978, « 7° (…) une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 (…) », dont le Conseil cite le premier paragraphe : « 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. (…) », ainsi que le régime des manquements aux principes fondamentaux : « 5. Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu: / a) les principes de base d’un traitement, y compris les conditions applicables au consentement en vertu des articles 5, 6, 7 et 9; / b) les droits dont bénéficient les personnes concernées en vertu des articles 12 à 22. » (Conseil d’État, 10e et 9e chambres réunies, 6 décembre 2023, n° 467368). Pour fixer le montant, l’autorité tient compte notamment de la nature et de la gravité de la violation, du caractère délibéré ou négligent, des mesures prises pour atténuer le dommage, du degré de coopération et du fait que la violation a été notifiée. Une entreprise qui a appliqué le correctif dans l’heure, notifié dans les délais, informé ses clients en termes clairs et coopéré pleinement se présente donc très différemment d’une entreprise qui a laissé un site vulnérable en ligne sans réagir. La sanction ne valide jamais à elle seule la qualité d’un système, mais elle sanctionne l’écart entre le risque connu et les mesures prises.
Conclusion
La faille critique du langage PHP révélée le 21 octobre 2026 impose aux entreprises dont le site marchand tourne sous ce langage une séquence resserrée : vérifier la version exacte et appliquer le correctif ou, à défaut, mettre le site hors ligne comme les responsables européens de la cybersécurité le recommandent pour les sites non corrigés ; alerter par écrit l’hébergeur et le prestataire de maintenance et tracer chaque diligence ; qualifier techniquement les faits avant de notifier, dans les soixante-douze heures de la prise de connaissance, toute violation de données à l’autorité de contrôle et d’informer dans les meilleurs délais les clients exposés à un risque élevé ; inviter ces clients à surveiller leurs comptes et à signaler sans tarder toute opération non autorisée à leur banque dans le délai de treize mois prévu sous peine de forclusion ; examiner chaque demande d’indemnisation au regard du dommage prouvé, sans automaticité ; et déposer plainte contre les auteurs de l’intrusion. Les contrats signés, avec les clients comme avec les prestataires, priment sur toute analyse générale, et seul le juge, saisi d’un litige précis, tranche les responsabilités. À la date de rédaction, les sources publiques ne font état d’aucune exploitation constatée de ces failles, d’aucun dommage établi sur un site déterminé ni d’aucune responsabilité reconnue : il s’agit d’un risque documenté qui appelle des mesures, non de faits jugés.