Le 21 octobre 2026 à 15 h 20, le CERT-EU, l’équipe de réponse aux incidents informatiques des institutions européennes, publie son avis de sécurité 2026-018 consacré à des vulnérabilités critiques du langage PHP, qui fait fonctionner une part immense des sites de commerce en ligne. La veille, le projet PHP avait annoncé une mise à jour de sécurité imminente visant deux failles critiques, dont la presse spécialisée redoutait déjà qu’elles permettent une exécution de code à distance. Le correctif est diffusé le 21 octobre 2026 à 13 h 30 UTC dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, mais le CERT-EU constate que les deux failles permettent une exécution de code à distance sans authentification, que les détails techniques circulent publiquement et que les premières preuves de concept commencent à se diffuser, ce qui accroît la probabilité d’une exploitation par des attaquants. Le CERT-EU recommande aux organisations d’appliquer le correctif immédiatement et, lorsque c’est impossible, d’isoler les applications exposées sur internet du réseau public jusqu’à l’application vérifiée du correctif.

La presse nationale décrit le même jour un internet partiellement à l’arrêt : le journal Le Monde titre sur les raisons pour lesquelles de nombreux sites sont soudainement placés en maintenance, Le Figaro évoque une partie de l’internet mondial mise à l’arrêt après la découverte de failles critiques, et BFM TV recense les sites concernés, citant la météo nationale, le site des impôts, des préfectures et certains médias. Pour une entreprise dont la boutique en ligne tourne sous PHP, la conséquence est immédiate et brutale : le prestataire ou l’hébergeur bascule le site en page de maintenance, les commandes cessent d’entrer, les paiements restent en suspens et les clients s’impatientent.

Ce guide explique, pour une société exploitant un site de vente en ligne depuis Paris ou l’Île-de-France, comment réagir dans les premières heures : quelles preuves figer pour chiffrer la perte d’exploitation, que dire aux clients dont les commandes sont bloquées, quand la mise en maintenance constitue un cas de force majeure et quand elle révèle une faute du prestataire informatique ou de l’hébergeur, et comment déclencher l’assurance perte d’exploitation dans les délais. Chaque règle citée est vérifiée sur le texte officiel ou la décision rendue, avec son lien : l’objectif est un dossier qui tient devant l’assureur comme devant le juge.

I. Site e-commerce en maintenance : prouver l’arrêt et chiffrer la perte d’exploitation

A. Prouver l’arrêt du site et la coupure des commandes : captures, journaux et constats

Le premier réflexe détermine tout le dossier d’indemnisation : figer la preuve de l’arrêt, de sa durée exacte et de son périmètre. Une page de maintenance affichée trois jours ne se prouve pas après coup par un simple récit. Faites établir sans attendre un constat par un commissaire de justice, qui se déplace ou constate en ligne la page de maintenance, l’impossibilité de valider un panier et l’horodatage de ses vérifications. Ce procès-verbal fera foi jusqu’à preuve contraire et servira face à l’assureur comme face au prestataire. En parallèle, conservez vos propres éléments : captures d’écran datées de la page de maintenance, messages d’erreur, échanges avec le prestataire et l’hébergeur ordonnant ou annonçant la mise en maintenance, journaux du serveur, statistiques de fréquentation montrant la chute à zéro, relevés de votre prestataire de paiement attestant l’interruption des transactions, et registre des commandes non abouties. Demandez par écrit au prestataire et à l’hébergeur la cause exacte de la coupure, la version de PHP exploitée avant le correctif, la date et l’heure d’application du patch et la liste des opérations effectuées : ces réponses écrites deviendront des pièces décisives pour établir qui a fait quoi et quand.

La jurisprudence récente montre que le juge indemnise la perte d’exploitation prouvée par des documents comptables, et rejette les chiffrages approximatifs. Dans un arrêt du 28 avril 2026, la cour d’appel de Reims juge, à propos d’une société victime d’une attaque par rançongiciel après une prestation informatique défaillante, que la société prestataire « n’a pas mis tout en oeuvre pour sécuriser le système informatique de sa cliente et a commis une faute dans l’exécution de sa prestation engageant également sa responsabilité contractuelle », retient un partage de responsabilité par moitié et alloue 12 097,59 euros, dont 7 862,47 euros au titre de la perte d’exploitation et 1 377,59 euros au titre du coût de la rançon, sur le fondement d’une attestation d’expert-comptable couvrant la période d’arrêt (CA Reims, 28 avril 2026, RG 24/01502). À l’inverse, la même cour écarte le préjudice lié au temps passé par le gérant et la secrétaire à remettre le système en service, faute d’autre preuve qu’un tableau établi par la société elle-même, et refuse le coût d’un audit décidé unilatéralement. La leçon est directe pour un site en maintenance : faites certifier la perte par votre expert-comptable, en marge brute journalière comparée à la même période des exercices précédents, et n’espérez rien d’un chiffrage interne non étayé.

La méthode de calcul retenue par les tribunaux en matière de perte d’exploitation donne un cadre stable. La cour d’appel de Nîmes, dans un arrêt du 21 mars 2025 confirmant une expertise judiciaire, énonce que « Selon le contrat d’assurance, le paiement de l’indemnité correspond à la perte de marge brute, avec application d’un délai de carence de 3 jours, sans déduction des franchises (paragraphe II du chapitre 1-A des pertes d’exploitation dans les conditions générales) », et rappelle que la marge brute se définit comme les frais généraux permanents augmentés du bénéfice d’exploitation (CA Nîmes, 21 mars 2025, RG 23/00858). Le tribunal des activités économiques de Marseille applique la même logique dans un jugement du 19 mars 2026 : il limite la période indemnisable à la durée réelle de la perturbation, du 26 juin 2023 au 13 juillet 2023, date à laquelle les installations étaient réparées et opérationnelles, et fixe l’indemnité à 28 631 euros, soit 36 440 euros diminués d’une franchise de trois jours représentant 7 809 euros, en déboutant la société du surplus réclamé (TAE Marseille, 19 mars 2026, n° 2025F01590). Transposé à un site e-commerce, ce raisonnement signifie que l’indemnisation court du premier jour de la page de maintenance jusqu’à la remise en ligne effective, déduction faite de la carence ou de la franchise contractuelle, et que toute prolongation au-delà de la remise en service effective ne sera pas payée. D’où l’importance de faire constater aussi la date et l’heure exactes de la remise en ligne.

B. Clients non livrés et commandes bloquées : rembourser, réexpédier ou attendre sans aggraver le litige

Pendant la maintenance, deux catégories de clients coexistent : ceux dont la commande payée attend son expédition et ceux dont le paiement est resté bloqué avant validation. Traitez-les différemment et, surtout, communiquez par écrit. Publiez sur le site, dès la page de maintenance, une information claire sur la cause technique, la date estimée de reprise et une adresse de suivi dédiée, puis envoyez à chaque client concerné un message nominatif précisant le statut exact de sa commande : paiement capturé ou simple autorisation, colis préparé ou non, nouvelle date d’expédition proposée. Cette traçabilité écrite évite les demandes de remboursement fondées sur le silence et démontre votre diligence si un client saisit ensuite un médiateur ou un juge. Proposez systématiquement une option : maintien de la commande avec une date ferme, ou remboursement immédiat et intégral. Le client qui accepte par écrit le report ne pourra pas soutenir ensuite qu’il est resté sans nouvelles, et celui qui est remboursé vite ne réclamera pas de dommages-intérêts pour un préjudice qui n’aura pas eu le temps de naître.

En droit de la consommation, le délai de livraison n’est pas une simple commodité : le code de la consommation impose au professionnel de délivrer le bien ou de fournir le service à la date ou dans le délai indiqué au consommateur, et prévoit qu’à défaut d’indication ou d’accord sur la date, « le professionnel délivre le bien ou fournit le service sans retard injustifié et au plus tard trente jours après la conclusion du contrat » (art. L216-1 du code de la consommation). Si vos conditions générales annoncent une expédition sous quarante-huit heures, chaque jour de maintenance creuse le retard contractuel, et le dépassement de trente jours sans accord du client expose la vente à l’annulation avec remboursement. Vérifiez donc vos stocks et votre capacité logistique avant de promettre une nouvelle date : mieux vaut rembourser une commande que promettre une réexpédition impossible et accumuler un second manquement. Pour les clients professionnels, relisez vos conditions générales de vente : clause de réserve de propriété, pénalités de retard, plafonds de responsabilité et cas de suspension autorisés. La mise en maintenance ordonnée par l’hébergeur pour appliquer un patch critique se rattache, lorsque ses conditions sont réunies, au régime légal de la force majeure : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur », et « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat » (art. 1218 du code civil). Concrètement, une coupure de quelques jours pour patcher une faille critique suspend vos délais de livraison sans engager votre responsabilité, à condition d’en informer les clients et de reprendre l’exécution dès la remise en ligne ; en revanche, si le retard rend la livraison sans objet, par exemple pour des produits périssables ou événementiels, le client peut résoudre la commande et vous devez le rembourser.

Attention au sens dans lequel joue la force majeure : elle protège le débiteur empêché, pas le créancier mécontent. La Cour de cassation juge que « le créancier qui n’a pu profiter de la prestation à laquelle il avait droit ne peut obtenir la résolution du contrat en invoquant la force majeure » (Cass. 1re civ., 25 nov. 2020, n° 19-21.060). Vos clients ne peuvent donc pas se retrancher derrière votre panne pour faire échec à vos conditions générales ou pour exiger autre chose que ce que le contrat et la loi leur accordent ; ils disposent des voies ordinaires de l’inexécution, ce qui vous laisse la main sur le choix entre réexpédition et remboursement. Documentez chaque proposition et chaque réponse : en cas de litige de masse après une panne médiatisée, le vendeur qui prouve une information rapide, des reports acceptés et des remboursements spontanés se défend incomparablement mieux que celui qui est resté silencieux derrière sa page de maintenance.

II. Obtenir réparation : prestataire, hébergeur et assurance perte d’exploitation

A. Prestataire et hébergeur : patch de sécurité, sauvegarde et devoir de conseil devant le juge

Une fois le site relancé, la question financière se déplace vers l’amont : qui supporte les jours de chiffre d’affaires perdus, le coût de la remise en état et les remboursements versés aux clients. Le premier responsable recherché est le prestataire chargé de la création ou de la maintenance du site, et le second l’hébergeur qui a ordonné la mise en maintenance. Le fondement est contractuel : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (art. 1231-1 du code civil). C’est donc au prestataire de démontrer qu’il a tout mis en oeuvre, pas à vous de prouver d’abord sa négligence dans le détail technique : l’inexécution suffit à enclencher sa responsabilité, à lui de justifier d’une cause d’exonération.

Le prestataire tentera de plaider la force majeure en invoquant le caractère mondial et inédit de la faille PHP. L’argument a des limites sévères, que la jurisprudence récente éclaire. La cour d’appel de Reims, dans l’affaire déjà citée, écarte la défense d’un prestataire dont l’installation ignorait les recommandations de sécurité de l’époque : l’expert relève que les recommandations de l’ANSSI n’avaient pas été appliquées et que les outils de sécurisation choisis ne remplaçaient en rien le paramétrage des protections du système, de sorte que le déploiement était en totale inadéquation avec les prescriptions sécuritaires du moment. Le manquement au devoir de conseil, faute d’avoir interrogé et évalué les besoins du client pour lui livrer une installation fonctionnant de façon optimale et sécurisée, s’ajoute à la faute technique. Transposé à la faille PHP d’octobre 2026, ce raisonnement donne une grille d’analyse précise : un site resté sur une version de PHP non maintenue, sans contrat de maintenance prévoyant l’application des patchs critiques, sans sauvegarde externalisée testée et sans procédure de bascule, révèle des manquements antérieurs à la crise, et le prestataire qui n’a jamais alerté son client sur l’obsolescence de sa version engage sa responsabilité. À l’inverse, le prestataire qui a appliqué le correctif du 21 octobre dans la journée, après avoir isolé préventivement le site, aura fait la preuve de sa diligence, et la mise en maintenance préventive relèvera alors de la suspension temporaire de l’article 1218 plutôt que d’une faute.

Le devoir de conseil du professionnel de l’informatique est une obligation légale que le contrat ne peut neutraliser. Le code civil dispose que « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant », et que « Les parties ne peuvent ni limiter, ni exclure ce devoir » (art. 1112-1 du code civil). Concrètement, la clause qui transfère au client la seule responsabilité des sauvegardes ou qui plafonne la responsabilité du prestataire à quelques centaines d’euros ne vaut que si elle a été effectivement acceptée et si elle ne vide pas l’obligation essentielle de son contenu : à Reims, la cour écarte une clause de limitation figurant au dos de conditions générales jamais jointes au devis accepté ni signées, jugées inopposables au client. Exigez donc la production du contrat signé, de ses annexes et des conditions générales versionnées à la date de signature, et vérifiez ce qu’elles disent des mises à jour de sécurité, des sauvegardes et des temps de rétablissement : c’est sur ces stipulations, confrontées aux factures et aux journaux d’intervention, que le juge appréciera la diligence. Si votre prestataire a résilié ou restreint la télémaintenance avant la crise, comme dans une affaire jugée à Angoulême où le client avait résilié la télémaintenance quelques mois avant la panne, sachez que le tribunal en tient compte pour apprécier l’étendue des obligations de surveillance, tout en sanctionnant les manquements dans le périmètre maintenu : ralentissements signalés et ignorés, défaillances prévisibles non traitées (TC Angoulême, 30 avril 2026, n° 2025006511).

Le jugement d’Angoulême mérite une lecture attentive car il cumule les enseignements utiles à un site e-commerce : le tribunal y juge que la société de maintenance « a manqué à son obligation de diligence dans l’exécution de sa mission de maintenance » et « a commis un manquement contractuel dans l’exécution de ses obligations de maintenance », la condamne à 8 121,60 euros majorés des intérêts au taux légal à compter de la signification, retient aussi une faute de la société cliente ayant contribué à son propre dommage, et dit que l’assureur de responsabilité civile professionnelle du prestataire « devra garantir et relever indemne » son assuré « dans les limites et termes contractuels du contrat de responsabilité civile professionnelle », sur le fondement du droit d’action directe du tiers lésé (TC Angoulême, 30 avril 2026, n° 2025006511 ; art. L124-3 du code des assurances : « Le tiers lésé dispose d’un droit d’action directe à l’encontre de l’assureur garantissant la responsabilité civile de la personne responsable »). Pour votre dossier, cela ouvre deux voies complémentaires : agir contre le prestataire ou l’hébergeur fautif, et, s’il est insolvable ou discutable, agir directement contre son assureur de responsabilité civile professionnelle. Enfin, gardez la réciprocité du contrat à l’esprit : le prestataire qui a correctement exécuté sa mission obtient le paiement de ses factures, comme le rappelle un arrêt de la cour d’appel de Versailles du 16 septembre 2026 condamnant le client à 38 922,83 euros de prestations impayées, plus 320 euros d’indemnité de recouvrement (CA Versailles, 16 sept. 2026, RG 23/07893). Ne suspendez donc pas le paiement de la maintenance pour faire pression : contestez par écrit, consignez si nécessaire, mais laissez le juge trancher, comme l’illustre par ailleurs le contentieux du prestataire informatique piraté, entre résiliation et réparation intégrale.

B. Assurance perte d’exploitation à Paris : déclarer, chiffrer et agir dans les délais

Le second gisement d’indemnisation est votre propre assurance : multirisque professionnelle, garantie perte d’exploitation et, le cas échéant, extension cyber. Mais l’assureur ne paie que le dossier carré, déclaré à temps et chiffré selon le contrat. Première obligation, la déclaration : le code des assurances impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur », en précisant que « Ce délai ne peut être inférieur à cinq jours ouvrés » (art. L113-2 du code des assurances). Déclarez donc la mise en maintenance dès le premier jour, par lettre recommandée ou envoi recommandé électronique, en visant à la fois la perte d’exploitation et les frais supplémentaires engagés pour limiter le dommage : patch d’urgence, serveur de secours, heures du prestataire, remboursements clients. Joignez le constat du commissaire de justice, l’attestation du prestataire ou de l’hébergeur sur la cause et la durée, et une première estimation de la marge brute journalière. Une déclaration tardive expose à la déchéance de garantie lorsque le contrat la prévoit, et une déclaration incomplète retarde l’expertise : dans les deux cas, c’est votre trésorerie qui avance les frais.

Le chiffrage suit la méthode validée par les juges : marge brute perdue sur la période réelle d’arrêt, diminuée de la carence ou de la franchise. Reprenez la définition contractuelle de la marge brute, souvent rédigée comme les frais généraux permanents augmentés du bénéfice d’exploitation, et faites établir par votre expert-comptable une attestation comparant le chiffre d’affaires et la marge de la période d’arrêt à ceux de la période de référence, déduction faite des charges variables économisées. Anticipez les deux objections classiques de l’assureur. D’abord la durée : comme à Marseille, où le tribunal ramène la période indemnisable à la remise en service effective des installations et retranche une franchise de trois jours représentant 7 809 euros, l’assureur ne paiera que jusqu’à la remise en ligne constatée et appliquera la carence stipulée, ici trois jours (TAE Marseille, 19 mars 2026, n° 2025F01590 ; CA Nîmes, 21 mars 2025, RG 23/00858). Ensuite la preuve : à Nîmes, la cour juge que la comptabilité, bien que présumée régulièrement tenue, ne suffit pas à elle seule à établir la perte de marge brute contractuelle et ordonne une expertise judiciaire contradictoire. Si l’assureur conteste votre chiffrage, acceptez l’expertise amiable contradictoire plutôt que de la subir, et préparez-y grand-livre, balances, factures d’achat et relevés du prestataire de paiement : l’expert qui trouve un dossier complet chiffre vite, celui qui trouve des tableaux internes sans pièces justificatives réduit l’assiette, comme la cour de Reims l’a fait pour les chiffrages non étayés.

À Paris et en Île-de-France, organisez le dossier en pensant au tribunal qui tranchera en cas de refus de garantie ou de contestation du prestataire. Les contestations entre commerçants relèvent des tribunaux de commerce, qui connaissent notamment des contestations relatives aux engagements entre commerçants et aux actes de commerce entre toutes personnes (art. L721-3 du code de commerce) : pour une société dont le siège est à Paris, le dossier se plaidera devant la juridiction consulaire parisienne, et les constats dressés par un commissaire de justice francilien, les attestations horodatées du prestataire et les échanges écrits avec l’hébergeur y feront la différence entre une provision rapidement obtenue et une expertise qui s’éternise. Conservez aussi la dimension pénale et réglementaire du dossier : si la maintenance préventive a révélé une intrusion ou une exfiltration de données clients, faites déposer plainte, documentez les mesures de confinement et notifiez l’incident à la CNIL lorsque des données personnelles sont concernées, car l’assureur cyber et le juge pénal compléteront utilement le tableau. Enfin, surveillez les délais d’action : les actions dérivant du contrat d’assurance « sont prescrites par deux ans à compter de l’événement qui y donne naissance », le point de départ ne courant en cas de sinistre « que du jour où les intéressés en ont eu connaissance, s’ils prouvent qu’ils l’ont ignoré jusque-là » (art. L114-1 du code des assurances), tandis que l’action en responsabilité contre le prestataire ou l’hébergeur, action personnelle, « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (art. 2224 du code civil). Deux ans pour l’assureur, cinq ans pour le prestataire : agissez d’abord contre l’assurance pour restaurer la trésorerie, sans laisser passer le délai de l’action contre le responsable, dont les avocats en droit des affaires à Paris connaissent les circuits juridictionnels et les calendriers d’expertise.

Conclusion

La faille PHP critique du 21 octobre 2026 restera comme l’une de ces pannes mondiales qui distinguent les entreprises préparées des autres : correctif diffusé à 13 h 30 UTC, exploitation sans authentification possible, preuves de concept en circulation et recommandation du CERT-EU d’appliquer le patch sans délai. Si votre boutique en ligne a basculé en page de maintenance, la séquence gagnante tient en quatre gestes : faire constater l’arrêt et la reprise par un commissaire de justice, informer chaque client par écrit en proposant le report accepté ou le remboursement immédiat, exiger du prestataire et de l’hébergeur le compte rendu écrit du patch et de la sauvegarde, et déclarer le sinistre à l’assureur dès le premier jour. La jurisprudence de 2025 et 2026 donne un cap lisible : le prestataire qui n’a pas sécurisé ni conseillé répond de la perte d’exploitation prouvée par l’expert-comptable, avec partage des responsabilités lorsque le client a lui-même négligé son cahier des charges ; l’assureur paie la marge brute sur la période réelle d’arrêt, déduction faite de la carence et de la franchise ; et le juge écarte les chiffrages internes non étayés comme les demandes sans lien avec la panne. Constituez ce dossier dans la semaine qui suit la remise en ligne : c’est pendant que les journaux, les constats et les attestations sont frais que la perte d’exploitation se prouve, que l’assurance s’active et que le responsable paie.