Le 21 octobre 2026, des milliers de sites web français ont basculé en page de maintenance. En cause, deux vulnérabilités critiques découvertes dans le langage PHP, qui fait fonctionner une part immense du web marchand : boutiques Magento, sites WordPress, plateformes mutualisées. L’éditeur a diffusé des correctifs en urgence et les autorités ont recommandé soit de mettre à jour sans attendre, soit de mettre les sites hors ligne par précaution. Le ministère de l’intérieur a annoncé, selon Le Monde, la mise en maintenance préventive de l’ensemble de ses sites exposés, les publications des préfectures étant reportées sur les réseaux sociaux et par voie d’affichage. Pour un commerçant en ligne, la coupure se traduit en perte sèche : commandes impossibles, paniers abandonnés, campagnes publicitaires qui continuent de tourner vers une boutique fermée. Cet article explique, textes et décisions vérifiés à l’appui, qui doit la mise à jour et la remise en ligne, dans quel ordre écrire, suspendre ou résilier, puis comment chiffrer la perte de chiffre d’affaires et la faire payer. Chaque règle déterminante est accompagnée de son fondement officiel, et les contrats signés priment sur toute analyse générale : seul le juge, saisi du dossier complet, tranche en dernier ressort.
I. Site en maintenance forcée après la faille : qui doit la mise à jour et la remise en ligne ?
A. Hébergeur, agence web, éditeur : qui répond de la sécurité et des correctifs ?
Le premier réflexe consiste à rouvrir le contrat, car la loi ne désigne pas un responsable unique : tout dépend de qui s’est engagé à faire quoi. Un hébergeur simple loue de la capacité serveur et de la bande passante ; une infogérance ajoute la surveillance et l’application des correctifs ; une agence web facturant la maintenance applicative prend en charge les mises à jour du CMS et de ses extensions. Quand la boutique est construite sur Magento, WordPress, Drupal ou Joomla, ce que la société de cybersécurité Huntress, citée par Le Monde, décrit comme des logiciels massivement présents sur le web, la faille se situe dans le socle lui-même, et la question devient : à qui incombait l’installation du correctif publié le 21 octobre 2026 ? La réponse se lit dans les clauses de maintenance et de sécurité, pas dans les communiqués de presse. Le langage PHP, toujours selon les informations rapportées par Le Monde, a indiqué que les deux vulnérabilités avaient reçu la note de 9,2 sur 10 sur l’échelle de gravité CVSS v4.0, selon Le Monde : un score de cette ampleur rend difficile, pour un prestataire chargé de la maintenance, l’argument selon lequel il pouvait ignorer la publication du correctif.
Du côté de l’hébergeur, la jurisprudence récente invite à la prudence plutôt qu’aux certitudes. Dans un arrêt du 24 avril 2025 (cour d’appel de Douai, chambre 2 section 2, RG 23/00858), rendu après l’incendie d’un datacentre ayant détruit le serveur d’un client et ses sauvegardes, le tribunal de commerce avait jugé que les contrats relevaient de l’obligation de moyens, et la cour d’appel a analysé les clauses par lesquelles le prestataire fixait lui-même au client un niveau de performance exprimé en engagements de disponibilité des services souscrits. Autrement dit, l’hébergeur n’est généralement pas tenu d’une disponibilité absolue, mais des engagements chiffrés de disponibilité qu’il a lui-même souscrits, avec les pénalités et les crédits associés. Concrètement, le commerçant doit extraire du contrat le taux de disponibilité garanti, le temps de rétablissement promis, les exclusions de maintenance planifiée et d’urgence, et la procédure de signalement des incidents : c’est ce socle qui dira si la mise hors ligne de précaution, ou le retard à appliquer le correctif, constitue un manquement.
Du côté de l’agence ou du prestataire qui administre la boutique, le devoir de conseil pèse lourd, surtout face à un client qui ne maîtrise pas la technique. La cour d’appel de Lyon, dans un arrêt du 28 mai 2025 (3e chambre A, RG 21/08394), a confirmé la nullité d’un contrat de progiciel : le manquement au devoir précontractuel d’information et de conseil avait provoqué chez la cliente une erreur sur les qualités essentielles du produit, constitutive d’un vice du consentement, de sorte que la nullité était encourue avec restitutions réciproques. La cour a ajouté qu’en sa qualité de professionnel, le fournisseur devait vérifier l’adéquation de son produit aux besoins du client avant la signature, et non une fois le progiciel installé. Transposée à la faille du jour, cette logique signifie qu’un prestataire chargé de la maintenance qui laisse une boutique exposée plusieurs jours après la publication d’un correctif critique, sans alerter son client ni proposer la mise hors ligne temporaire, s’expose à voir son inertie qualifiée de manquement. Le client, de son côté, doit prouver ce qu’il avance : l’article 1353 du code civil dispose que « Celui qui réclame l’exécution d’une obligation doit la prouver », et réciproquement celui qui se prétend libéré doit justifier du fait qui a éteint son obligation.
Deux fondements textuels renforcent l’exigence de mise à jour. D’abord, l’article L. 224-25-14 du code de la consommation, qui définit les critères de conformité des contenus et services numériques : le service doit être « fourni sans interruption tout au long de cette période » en cas de fourniture continue, être « fourni selon la version la plus récente qui est disponible au moment de la conclusion du contrat, sauf si les parties en conviennent autrement », et être « fourni avec les mises à jour que le consommateur peut légitimement attendre ». Ensuite, l’article L. 224-25-25 du même code impose au professionnel de veiller à ce que le destinataire « soit informé des mises à jour nécessaires au maintien de la conformité » et à ce qu’il les reçoive, pendant toute la période de fourniture continue. Ces textes visent d’abord la relation avec le consommateur, et le commerçant les invoquera donc surtout face à ses propres clients ; face à son hébergeur ou à son agence, le terrain principal reste le contrat signé et le droit commun de l’inexécution. Enfin, lorsque la boutique traite des données de clients, l’exigence de sécurité et de rétablissement rapide de l’accès aux données s’ajoute aux obligations contractuelles du prestataire : laisser une boutique vulnérable sans correctif, c’est aussi prendre un risque sur le terrain de la protection des données, à faire vérifier avec le prestataire et, s’il existe, le délégué à la protection des données.
B. Mise en demeure, suspension du paiement et résiliation : dans quel ordre agir ?
Face à une boutique fermée, l’ordre des démarches conditionne la suite du litige. La première étape est une mise en demeure écrite, adressée à chaque interlocuteur concerné : hébergeur d’un côté, agence ou prestataire de maintenance de l’autre, en distinguant leurs obligations respectives. Cette lettre décrit les faits datés, vise les clauses invoquées, demande la remise en ligne ou l’application du correctif sous un délai précis et compatible avec l’urgence, et réserve l’ensemble des droits à indemnisation. L’arrêt de la cour d’appel de Douai précité montre l’importance de cette étape : la cliente avait, avant d’assigner, vainement mis en demeure le prestataire de l’indemniser sous quinze jours, et c’est sur la base de ce manquement documenté que la cour a confirmé l’existence d’un manquement contractuel, tout en limitant l’indemnisation par les clauses du contrat. Mettre en demeure ne préjuge de rien, mais ne pas le faire fragilise toute demande ultérieure.
La deuxième question est celle du paiement : faut-il continuer à payer l’hébergement et la maintenance pendant la coupure ? L’article 1219 du code civil autorise une partie à « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave ». La suspension du paiement suppose donc une inexécution suffisamment grave de l’autre partie, appréciée au cas par cas : quelques heures de maintenance préventive décidée avec l’accord du client ne valent pas plusieurs jours de boutique fermée sans correctif appliqué. La suspension doit rester proportionnée et notifiée par écrit, car une suspension abusive expose à son tour le commerçant à une résiliation pour faute. En pratique, beaucoup de contrats prévoient des crédits de service automatiques en cas d’indisponibilité : les réclamer par écrit, chiffres à l’appui, constitue souvent un premier recouvrement rapide, sans préjudice d’une indemnisation complémentaire.
La troisième étape, la résiliation, obéit à l’article 1224 du code civil : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice ». Avant de notifier la résolution, le commerçant vérifie la clause résolutoire de son contrat, qui fixe souvent une mise en demeure préalable et un délai de régularisation, ainsi que le sort des données et la réversibilité : partir sans avoir récupéré sauvegardes, noms de domaine, accès et documentation, c’est perdre deux fois. La résiliation n’efface pas le passé : l’article 1231-1 du code civil prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure », ce qui renvoie à la question que tout prestataire soulèvera : la faille constituait-elle un cas de force majeure l’exonérant ?
Sur ce point, ni la panique ni l’évidence ne tiennent lieu de raisonnement. L’article 1218 du code civil retient la force majeure « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur », en ajoutant que « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat » et que « Si l’empêchement est définitif, le contrat est résolu de plein droit ». Une vulnérabilité inédite, dite zero-day, peut remplir la condition d’imprévisibilité ; encore faut-il que ses effets aient été inévitables par des mesures appropriées, ce qui se discute pied à pied quand un correctif officiel existe et que les autorités recommandent son application immédiate, voire la mise hors ligne temporaire, comme l’a recommandé l’agence américaine de sécurité NSA selon BFM. Surtout, une clause du contrat ne peut pas transformer n’importe quel incident en force majeure exonératoire : dans l’affaire jugée à Douai, la cour a rejeté la demande de force majeure du prestataire tout en maintenant, pour l’essentiel, les clauses limitatives de responsabilité, de sorte que la condamnation finale s’est élevée à 1 800,48 euros. La leçon est double : la force majeure ne se présume pas, et même un manquement reconnu peut ne rapporter presque rien si le contrat plafonne l’indemnisation.
C’est pourquoi la relecture des clauses limitatives et des plafonds constitue l’étape la plus rentable du dossier. L’article 1170 du code civil est bref : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. ». La cour d’appel de Douai a rappelé la généalogie de cette règle, en relevant que la Cour de cassation avait écarté une clause limitative au motif qu’elle contredisait la portée de l’engagement pris (chambre mixte, 22 avril 2005, n° 03-14.112), avant de préciser que seule est réputée non écrite la clause qui contredit la portée de l’obligation essentielle du débiteur (chambre commerciale, 29 juin 2010, n° 09-11.841). Mais dans cette même affaire, la cour a rejeté la demande tendant à voir réputer non écrites les clauses de limitation ou d’évaluation forfaitaire de la responsabilité, que ce soit pour atteinte à l’obligation essentielle ou pour déséquilibre significatif : les plafonds ont tenu. Pour le commerçant, la méthode est donc la suivante : identifier le plafond applicable à son préjudice, vérifier les exclusions de dommages indirects, et mesurer si l’indemnisation contractuelle couvre une part sérieuse du manque à gagner avant d’engager un procès dont le coût dépasserait le plafond.
II. Chiffre d’affaires perdu pendant la coupure : comment le chiffrer et le faire payer ?
A. Perte d’exploitation : quelles preuves rapporter pour être indemnisé ?
Une boutique fermée ne perd pas seulement les commandes du jour : elle perd le référencement acquis, la confiance des clients réguliers, les campagnes payées qui renvoient vers une page d’erreur, et parfois des denrées ou des créneaux périssables. Le droit n’indemnise que ce qui est prouvé, poste par poste, et c’est là que la plupart des dossiers se gagnent ou se perdent. L’article 1353 du code civil fixe la règle du jeu : « Celui qui réclame l’exécution d’une obligation doit la prouver ». Concrètement, dès la coupure, le commerçant fige la preuve : constats d’huissier ou de commissaire de justice sur l’inaccessibilité du site, captures datées des messages d’erreur et des pages de maintenance, relevés de l’outil de supervision, journaux du prestataire, historique des ventes et du trafic sur la période comparable de l’année précédente, taux de paniers abandonnés, remboursements accordés aux clients, factures des campagnes publicitaires maintenues pendant la coupure, et coût des prestataires mobilisés pour la remise en ligne. Dans l’affaire jugée à Douai, alors que la cliente évaluait son préjudice à 6 540 000 euros, la cour a arrêté le préjudice indemnisable à 47 900 euros au titre des coûts salariaux et des prestataires externes : l’écart entre le chiffre réclamé et le chiffre prouvé doit servir d’avertissement à tout demandeur.
La méthode de chiffrage la plus solide reste la comparaison avec un scénario sans faute. La Cour de cassation, dans un arrêt de la chambre commerciale du 1er mars 2023 (n° 20-18.356), a jugé qu’un préjudice reconstitué par des méthodes comparatives consistant à raisonner sur un fonctionnement non faussé du marché, admises par la doctrine économique dès lors que leurs hypothèses ont été débattues, constitue un gain manqué et non une perte de chance, en visant le principe de la réparation intégrale du préjudice, sans perte ni profit pour la victime, au visa de l’article 1240 du code civil (« Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer »). Pour une boutique en ligne, cela signifie : reconstituer le chiffre d’affaires qui aurait été réalisé sans la coupure à partir des données historiques corrigées de la saisonnalité, des tendances et des opérations promotionnelles, puis en déduire les coûts évités, afin de présenter une marge perdue plutôt qu’un chiffre d’affaires brut. Un tableau comparatif semaine par semaine, adossé aux relevés de la plateforme de paiement et aux rapports d’audience, parle au juge ; un montant global jeté sans méthode ne parle à personne.
Trois postes méritent une attention particulière. D’abord, les frais engagés pour limiter le dommage : surcoût d’un correctif en urgence, bascule vers une page de secours, location d’une solution temporaire, heures supplémentaires des équipes. Ces dépenses, engagées raisonnablement pour remettre la boutique en ligne, sont indemnisables dès lors qu’elles sont justifiées par factures. Ensuite, l’atteinte au référencement et à l’image : baisse de position après plusieurs jours d’erreurs serveur, avis clients négatifs publiés pendant la coupure. Ce préjudice existe, mais il se prouve par des relevés de positionnement avant et après, des attestations et des constats, pas par des affirmations. Enfin, les pénalités versées aux places de marché ou aux partenaires logistiques du fait de commandes non honorées : elles se réclament sur justificatifs, à condition que le contrat avec le prestataire défaillant ne les exclue pas au titre des dommages indirects, exclusion fréquente que l’arrêt de Douai illustre avec les dommages indirects écartés par les conditions générales de l’hébergeur, notamment le trouble commercial, les pertes de commandes et la perte d’exploitation. Relire ces exclusions avant d’assigner évite de découvrir au bout de deux ans de procédure que le poste principal était contractuellement exclu.
B. Assurance cyber, garantie légale et données clients : qui paie en dernier ?
Quand le plafond contractuel ne couvre qu’une fraction du manque à gagner, deux autres payeurs potentiels entrent en scène : l’assureur et, en miroir, les propres clients du commerçant qui lui demandent des comptes. Côté assurance, le contrat d’assurance perte d’exploitation ou la garantie cyber, quand elle existe, peut prendre en charge une partie du préjudice d’interruption, déduction faite de la franchise et dans la limite des capitaux garantis. La déclaration doit partir sans attendre, avec le constat d’inaccessibilité, la chronologie des événements, le récapitulatif du chiffre d’affaires perdu et les factures de remédiation, car l’assureur appréciera aussi les mesures prises pour limiter le dommage. En parallèle, les crédits de service prévus par le contrat d’hébergement en cas d’indisponibilité doivent être réclamés par écrit : ils ne soldent pas le préjudice, mais ils constituent un premier recouvrement, et leur versement ne vaut pas reconnaissance d’une responsabilité plus large, pas plus que leur acceptation ne prive le commerçant de réclamer le surplus devant le juge.
Côté clients de la boutique, la coupure peut déclencher des demandes de remboursement, d’avoir ou d’annulation, notamment pour des services non fournis pendant la maintenance. L’article L. 224-25-12 du code de la consommation organise la garantie des contenus et services numériques : le professionnel « répond des défauts de conformité existant au moment de la fourniture et qui apparaissent dans un délai de deux ans à compter de celle-ci » en cas de fourniture ponctuelle, et des défauts « qui apparaissent au cours de la période durant laquelle celui-ci est fourni » en cas de fourniture continue. L’article L. 224-25-16 du même code ajoute une présomption utile : les défauts apparus « dans un délai de douze mois à compter de la fourniture » sont présumés exister au moment de celle-ci, et en fourniture continue « la charge de la preuve quant à la question de savoir si le contenu numérique ou le service numérique était conforme au cours de la période contractuelle de fourniture, incombe au professionnel ». Et si le professionnel refuse la mise en conformité, l’article L. 224-25-19 prévoit que le destinataire peut, « après mise en demeure, poursuivre l’exécution forcée en nature de la mise en conformité sollicitée », tout refus devant être « motivé par écrit ou sur support durable ». Pour le commerçant, la parade consiste à traiter vite et bien les réclamations nées de la coupure : une boutique qui rembourse spontanément les services non rendus limite le contentieux et conserve des clients, tandis que le coût de ces gestes rejoint le préjudice réclamé au prestataire défaillant, sur justificatifs.
Reste la question des données : la maintenance préventive décidée le 21 octobre 2026 visait précisément à éviter toute exploitation des vulnérabilités, et à la date de rédaction aucune intrusion ni aucun vol de données n’a été constaté par une source officielle sur les sites mis hors ligne par précaution. Si toutefois des indices d’accès indus apparaissaient dans les journaux, le commerçant les fait constater par écrit avec son prestataire et saisit sans attendre son délégué à la protection des données s’il en a un, afin d’examiner les suites à donner au regard des textes applicables aux violations de données personnelles. En attendant, la consigne reste la même : conserver les journaux d’accès, documenter chaque vérification, et ne tirer aucune conclusion d’une simple alerte technique.
Enfin, le temps joue pour celui qui agit tôt. L’article 2224 du code civil dispose que « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » : le point de départ court donc de la connaissance de la coupure et de ses causes, pas de la fin des négociations amiables. Cinq ans semblent longs, mais les preuves s’effacent vite : journaux serveurs écrasés par rotation, relevés d’audience non archivés, souvenirs des équipes qui s’estompent. Le dossier se construit dans les jours qui suivent la remise en ligne, pas à la veille de l’audience. Et comme toujours, une qualification prudente s’impose : la faille aurait pu causer un dommage, le retard de correctif pourrait constituer un manquement, la clause pourrait être jugée abusive ; seul le juge, au vu du contrat complet et des preuves versées, dira ce qui est établi.
Conclusion
La faille critique PHP du 21 octobre 2026 restera comme un cas d’école : un correctif disponible, des sites mis hors ligne par précaution sur recommandation des autorités, et des commerçants privés de chiffre d’affaires pendant la maintenance. Face à cette situation, la méthode tient en quatre gestes : identifier dans le contrat qui devait appliquer le correctif, mettre en demeure par écrit avant de suspendre ou de résilier, chiffrer la perte poste par poste avec des preuves figées dès la coupure, puis actionner dans l’ordre les crédits de service, l’assurance et, si nécessaire, le juge, sans oublier les propres clients de la boutique et la sécurité de leurs données. Les plafonds et les exclusions de responsabilité décident souvent de l’issue autant que la faute elle-même, comme l’a montré l’arrêt de la cour d’appel de Douai du 24 avril 2025. Les contrats signés priment sur toute analyse générale, et seul le juge tranche les qualifications : à dossier égal, c’est le commerçant le mieux documenté qui obtient réparation.