Panne Salesforce : sept heures et demie d'arrêt, la couverture cyber recule en France

Salesforce a subi le 16 septembre une interruption de service mondiale qui a touché plusieurs centaines d'instances, dont celles de la France. La perturbation a commencé à 9 h 50, heure de Paris, et l'éditeur n'a déclaré l'incident résolu qu'à 20 h 59. Salesforce n'a signalé aucune destruction de biens ni aucune perte de données. Ses clients ont subi des délais sévères, des erreurs intermittentes et, pour certains, l'impossibilité d'accéder au service et même d'ouvrir un ticket d'assistance.

La veille, l'assureur spécialisé Hiscox publiait la dixième édition de son rapport sur la gestion des cyber-risques. La part des TPE et PME françaises couvertes par une police cyber dédiée y recule de 33,6 % à 27,6 % en un an. Les deux faits se rejoignent sur un point de contrat. La perte d'exploitation, c'est-à-dire l'indemnisation de la marge brute perdue pendant une interruption d'activité, ne se déclenche en principe qu'après un dommage matériel. Une panne de serveur d'authentification n'en produit aucun.

Une dépendance externe au cœur de la panne

L'incident a démarré à 3 h 50, heure de la côte est des États-Unis, soit 9 h 50 à Paris. Salesforce a d'abord constaté que les requêtes restaient en attente d'une réponse d'un service d'authentification interne, lequel saturait les ressources serveur disponibles. L'éditeur a ensuite attribué la panne à la défaillance d'une dépendance externe affectant son ancien serveur de connexion, en précisant que son fournisseur d'infrastructure tierce ne relevait aucun problème de son côté.

Les mesures de contournement ont été déployées sur l'ensemble des instances à 17 h 39, heure de Paris, et l'incident a été classé résolu à 20 h 59. Le média professionnel CIO chiffre la perturbation à environ sept heures et demie. Plusieurs clients ont signalé que des traitements planifiés ne s'exécutaient toujours pas alors que l'accès était rétabli. Un sous-ensemble d'instances Hyperforce a été restauré en dernier.

La panne est tombée pendant Dreamforce, la conférence annuelle que Salesforce tenait à San Francisco devant plus de 40 000 participants sur place et plus de 200 000 inscrits en ligne. Le portefeuille clients de l'éditeur réunit notamment Amazon, Walmart, Coca-Cola, Toyota et IBM.

« Nous nous excusons de la manière dont cet incident vous a affectés, vous et votre activité », a écrit Salesforce sur son blog d'incident, en annonçant une enquête complète destinée à établir le déclencheur technique, la cause profonde et les actions préventives.

Le contrat classique exige un dommage matériel

France Assureurs, la fédération des sociétés d'assurance françaises, énonce la règle sans détour sur sa page consacrée aux pertes d'exploitation des entreprises : « La perte d'exploitation ne joue que si l'interruption d'activité est due à un dommage matériel couvert par le contrat. » La garantie indemnise une perte de marge brute, soit le chiffre d'affaires diminué des charges variables, sur une période d'indemnisation que l'entreprise fixe à la souscription.

L'extension de carence de fournisseur, qui vise l'arrêt causé par l'incapacité d'un fournisseur à livrer, ne couvre pas davantage ce cas. Selon la même fédération, elle ne joue que si les fournisseurs de matières premières, d'emballages et d'approvisionnements, ou les sous-traitants, « ont subi des dommages matériels résultant d'un incendie ou d'une explosion ». Une panne d'authentification chez un éditeur de logiciel ne remplit aucune de ces deux conditions.

Une couverture distincte traite ces arrêts. L'assurance perte d'exploitation sans dommage indemnise la même marge brute quand l'activité cesse sans atteinte aux biens assurés, sur des déclencheurs nommés au contrat : carence de fournisseur ou de client, impossibilité d'accès aux locaux, fermeture administrative, coupure d'énergie, attaque informatique. Elle suppose une souscription dédiée ou une extension négociée au contrat multirisque professionnelle.

Les petites entreprises françaises réduisent leur couverture

Le rapport Hiscox a été réalisé par le cabinet Wakefield Research auprès de 6 800 décideurs en charge de la stratégie de cybersécurité dans des organisations de moins de 250 salariés, répartis sur dix pays, entre le 5 et le 17 juin 2026. En France, la part des TPE et PME sans aucune couverture cyber, sous quelque forme que ce soit, est montée de 39 % à 45 % en un an. Seules 55 % des entreprises interrogées déclarent une protection, et 12 % affirment n'en détenir aucune sans intention d'en souscrire, contre 9 % un an plus tôt.

Le mouvement dépasse la France. Le Portugal décroche de 26 points en un an, l'Espagne et l'Irlande de 9 points chacune. Aux États-Unis et au Royaume-Uni, où les taux de couverture restent les plus élevés, la baisse des polices dédiées traduit une réorientation : près d'une entreprise sur deux y intègre désormais le risque informatique dans un contrat multirisque global. Parmi les TPE et PME françaises non assurées, 33,1 % envisagent de souscrire dans les douze prochains mois, la proportion la plus élevée des dix pays étudiés.

Le budget suit la même pente. Les TPE et PME françaises consacrent en moyenne 29 700 euros par an à leur cyber-résilience, deux à trois fois moins que leurs homologues espagnoles, italiennes ou britanniques. Le volet international du rapport situe la dépense française à 32 700 dollars, contre 51 000 dollars pour la moyenne des dix pays.

Deux tiers des arrêts durent moins d'une journée

Hiscox relève que 66,8 % des incidents français se soldent par une interruption d'activité inférieure à une journée, tandis que la durée moyenne de l'ensemble atteint 24,5 heures, tirée vers le haut par les cas les plus sévères. En Allemagne et en Espagne, 22 % et 20 % des incidents s'étirent respectivement sur quatre à sept jours.

L'impact financier moyen estimé pour une PME française attaquée au cours des douze derniers mois s'élève à 45 900 euros. La conséquence la plus fréquente est la fraude par détournement de paiement, subie par quatre entreprises attaquées sur dix. L'atteinte à la réputation, que les dirigeants placent au premier rang de leurs craintes, touche 19,8 % des victimes. Vingt-six pour cent des incidents ont pour origine une erreur humaine et près d'un sur quatre implique un prestataire ou un partenaire externe.

Les effets débordent le compte de résultat. Au total, 96 % des TPE et PME françaises touchées reconnaissent un impact sur leur stratégie ou leur situation financière : retard de croissance pour 36 % d'entre elles, effet sur la valorisation pour 33 %, report d'investissements technologiques pour 31 %. Côté équipes, 37 % des collaborateurs d'entreprises attaquées rapportent un stress élevé, 27 % une dégradation du climat de travail et 25 % une hausse des arrêts maladie.

Des primes en baisse, une sinistralité multipliée

Le marché français de la cyberassurance envoie des signaux divergents. L'édition 2026 de l'étude LUCY de l'Amrae, l'association pour le management des risques et des assurances de l'entreprise, recense 306 millions d'euros de primes collectées en 2025, après 317 millions en 2024 et 328 millions en 2023. Les indemnisations sont passées de 54,5 millions à 83,2 millions d'euros sur un an, une hausse de 53 % portée principalement par les entreprises de taille intermédiaire, dont les règlements ont quadruplé.

L'étude décrit par ailleurs un marché qui se détend : les taux de prime reculent, les franchises diminuent et les capacités souscrites augmentent. Le nombre d'entreprises assurées progresse de 97 % chez les moyennes entreprises réalisant de 10 à 50 millions d'euros de chiffre d'affaires, de 45 % chez les petites entreprises de 2 à 10 millions et de 35 % chez les micro-entreprises. Cette ouverture commerciale coexiste avec le désengagement que mesure Hiscox sur le segment des moins de 250 salariés.

« Le nuage ne supprime pas les dépendances architecturales »

Abbas Jaffery, directeur conseil principal chez Info-Tech Research Group, situe la leçon au niveau de l'architecture plutôt que de la vétusté d'un composant. « Le nuage ne supprime pas les dépendances architecturales », déclare-t-il. « Il peut parfois les rendre moins visibles. Et lorsque la plateforme est votre système d'enregistrement, ces dépendances cachées deviennent un risque d'entreprise plutôt qu'un simple risque technologique. »

L'analyste décrit un « problème de données temporelles » : « Des événements qui devaient se produire à des moments différents peuvent survenir plus tard, échouer complètement ou arriver dans le désordre. » Une interaction client passée par un autre canal pendant l'indisponibilité reste non enregistrée lorsque le traitement chargé de la propager ne s'exécute pas. Les transactions se décalent et les états des systèmes en aval cessent de concorder avec ceux de la plateforme.

Jaffery juge que le rétablissement de l'accès ne clôt pas l'incident et conseille de passer immédiatement à une phase de réconciliation et de contrôle d'intégrité, portant sur les interfaces de programmation, les traitements planifiés, les files d'attente, les flux d'authentification et les systèmes en aval. Il résume la question à poser aux directions : « Qu'est-ce que l'entreprise attendait qu'il se produise pendant la panne, et pouvons-nous prouver que cela s'est effectivement produit ? »

Les trois jalons à surveiller

Le rapport d'incident promis par Salesforce constitue le premier jalon. Jaffery attend qu'il établisse une chaîne causale complète, du déclencheur initial à l'action corrective permanente, et qu'il explique pourquoi les mécanismes d'isolation et de basculement n'ont pas contenu l'impact.

Le deuxième jalon concerne les contrats. La saison de renouvellement qui s'ouvre portera sur le déclencheur des garanties autant que sur leur plafond, puisque l'événement du 16 septembre n'a produit aucun des dommages matériels que le contrat standard exige.

Le troisième jalon porte sur l'intelligence artificielle. Près d'un décideur français sur deux, soit 49 %, place l'empoisonnement des données, une attaque visant à corrompre les données d'entraînement d'un modèle, parmi les menaces cyber émergentes les plus graves à cinq ans. Parmi les assurés français, 69 % disposent d'un contrat intégrant les risques liés à l'intelligence artificielle, contre 74 % en moyenne dans les autres pays européens étudiés.

Victorine Bailleul, responsable de l'offre Cyber et Tech chez Hiscox, résume le constat de son groupe : « Trop d'entreprises françaises pensent que leurs investissements techniques suffisent », alors qu'une cyberattaque « génère une onde de choc financière, juridique et opérationnelle que la technologie seule ne peut pas absorber ». Le propos émane d'un assureur, et les chiffres de l'Amrae sur la progression des indemnisations en 2025 pointent dans la même direction.