La loi te donne 72h pour prévenir la CNIL après une fuite. Pas 72h pour « y penser ».
France 2026 · fuites de données · 72h pour déclarer
Et si n’importe qui pouvait lire les données de tes clients ?
6 167 fuites déclarées à la CNIL en 2025. Déjà 2 730 au début 2026. Tu as 72 heures pour prévenir. Tes clients, eux, ne reviennent souvent pas.
Kalisecu vérifie ton site à la fréquence que tu choisis, et regarde une seule chose : est-ce que les données de tes clients sont accessibles à quelqu’un qui n’y a pas droit ? Si oui, on te le dit simplement, et on te dit quoi faire.
Uniquement sur ton site, avec ton accord écrit. On ne touche pas aux sites des autres.
Noms, mails, adresses, commandes : est-ce que c’est visible sans mot de passe ?
Si on t’écrit qu’il y a un problème, c’est qu’il y en a un vrai. Pas de stress pour rien.
Tu changes ton site. On revient. Un contrôle de l’an dernier ne suffit plus.
Le risque
Le jour où tes clients reçoivent l’email.
6 167 fuites déclarées en France en 2025, déjà 2 730 début 2026. Ce n’est pas « les autres, les grandes entreprises ». Le jour J tu n’as pas six mois : tu as 72 heures, et des clients qui ferment l’onglet.
01 — LA FUITE
Quelqu’un a tes fichiers clients.
Pas un virus hollywoodien. Souvent : une page trop ouverte, une liste visible sans compte. Puis un message sur les réseaux. Puis le téléphone qui sonne.
02 — LES 72 HEURES
Prévenir la CNIL. Puis tes clients.
La loi est claire : 72 heures pour déclarer. Si c’est grave, tu dois aussi écrire à tes clients. Eux ne lisent pas la loi. Ils partent.
03 — LE CONTRÔLE D’HIER
Un dossier PDF. Un site qui a changé.
Tu as peut-être déjà « fait un audit ». Il date. Ton site a bougé dix fois depuis. Ce dossier ne te sauve pas le jour J.
72
heures
Le chrono
72 heures. Pas six mois.
Une fuite, et la loi démarre un compte à rebours. Mal gérée, elle peut coûter une sanction CNIL qui monte jusqu’à 4 % de ton chiffre d’affaires — et des clients qui ne reviennent pas. On est là pour trouver le trou avant — pas pour t’écrire le communiqué après.
Ce qu’on fait
On surveille ton site. On te parle français.
Pas un pavé de 80 pages. Un contrôle régulier : est-ce que les infos de tes clients sont visibles de l’extérieur ? Si oui, on te le montre, on te dit quoi demander à ton prestataire ou coller toi-même. Trois minutes de lecture par contrôle — c’est tout ce que ça te demande.
01
On regarde ton site
Uniquement ce que tu as autorisé. On fait le tour de ce qui est public : pages, formulaires, comptes clients.
02
On cherche ce qui fuit
Listes de clients, adresses, commandes, fichiers : est-ce qu’un inconnu peut les voir ? C’est la question.
03
On vérifie deux fois
Avant de t’écrire, on vérifie à la main. Si on n’est pas sûrs à 100 %, on te le dit comme un doute — pas comme une catastrophe.
04
On t’explique quoi faire
En français. Dans l’ordre. « Ferme ça. Demande ça à celui qui a fait le site. » Pas un roman technique.
Pourquoi nous
Simple, régulier, et rien que ton site.
FR
On t’explique en français
Pas de rapport technique illisible. On te dit ce qu’un inconnu peut voir, et la phrase exacte à envoyer à ton prestataire. Aucune compétence technique demandée.
↻
On revient
Chaque semaine ou chaque mois. Tu ajoutes une page, un formulaire, un prestataire : on recontrôle.
[]
Ton site seulement
Accord écrit. On ne va pas « tester » le site d’à côté, ni celui d’un concurrent.
Exemple concret
Tu as un site fait avec un outil « no-code ».
Beaucoup de sites aujourd’hui (Lovable, et d’autres) sont branchés sur une base en ligne. La question n’est pas « c’est moderne ? ». C’est : est-ce qu’un inconnu peut ouvrir la liste de tes clients ? Si oui, on te le dit. Si c’est fermé, on te le dit aussi, tout aussi clairement.
1 Ton site est public ok 2 Formulaire clients on regarde 3 Liste visible sans compte ? à confirmer avec toi 4 Si oui on t’explique comment fermer 5 Si non rien à paniquer
Forfaits
Un test complet. Le suivi, si tu veux.
Un pentest, c’est un test complet de ton site : on cherche tout ce qu’un attaquant pourrait atteindre. Prix affiché, pas caché. Rien ne part sans ton accord écrit.
Pentest
1 site complet · une fois
99 €une fois
- On teste tout ton site, comme un attaquant
- Rapport en français : ce qui fuit, quoi faire
- On te le relit avant de te l’envoyer
le plus complet
Pentest + suivi
1 site · test + surveillance
99 €puis 39 €/mois
- Le pentest complet pour démarrer
- On repasse chaque mois re-tester ce qui a changé
- Un canal pour te prévenir si c’est grave
Sur mesure
plusieurs sites · rythme adapté
sur devis
- Plusieurs sites d’un coup
- Rythme adapté (semaine ou mois)
- Quelqu’un qui te suit
On ne lance rien sans ton accord écrit. On ne teste que tes sites.
On démarre
Cette semaine. Pas dans six mois.
- Tu nous dis quel site. Tu signes que c’est le tien.
- Premier contrôle : est-ce que des données clients sont déjà visibles ?
- Ensuite on revient, chaque semaine ou chaque mois.
- Toi tu agis (ou ton prestataire). On te dit quoi demander.
30 minutes, on voit si ça te concerne
On regarde ton site, on t’explique en français ce qu’on a vu. Rien de plus, et rien sans ton accord.
Garantie : si le premier contrôle ne t’apprend rien d’utile, tu ne le paies pas.
Questions
Les questions qu’on nous pose vraiment.
Je suis trop petit, personne ne va s’attaquer à moi.
C’est la phrase qu’on entend le plus — et c’est faux. La plupart des fuites, ce n’est pas un pirate qui t’a choisi toi. Ce sont des robots qui scannent internet en continu et s’arrêtent sur la première porte ouverte, sans savoir ni se soucier de qui tu es. Un petit site est même souvent une cible plus facile : moins protégé, et le jour d’une fuite tu n’as ni équipe de crise ni service juridique pour amortir. Petit ne veut pas dire invisible.
J’ai déjà un développeur / un prestataire qui gère ça.
Ton développeur construit ton site — son métier, c’est que ça marche, pas de l’attaquer. Ce sont deux réflexes différents : « est-ce que ça fonctionne ? » n’est pas « est-ce qu’un inconnu peut rentrer ? ». Et personne ne trouve facilement ses propres erreurs, c’est comme se relire soi-même. On est le regard extérieur qui teste ce qu’il a construit — sans rien lui reprocher : quand on trouve quelque chose, on te dit exactement quoi lui demander. Souvent, il corrige en cinq minutes.
Je ne suis pas informaticien. Je vais comprendre le rapport ?
Oui. On écrit comme on parle : « tes clients sont visibles sans mot de passe » ou « c’est fermé ». Si on n’est pas sûrs, on te le dit comme un doute, pas comme une catastrophe.
Vous allez « pirater » mon site ?
On teste ton site comme le ferait un vrai attaquant : on cherche les mêmes portes ouvertes, les mêmes failles qu’un pirate viserait pour mettre la main sur tes données clients. C’est tout l’intérêt — trouver le trou avant lui. Mais on s’arrête là : on ne casse rien, on ne vole rien, on ne crée pas de faux comptes, on n’écrit pas dans ta base. On repère la porte ouverte, on te la montre — on ne rentre pas. Et seulement sur le site que tu as autorisé par écrit.
Et si vous trouvez une fuite ?
On te le dit d’abord à toi, en français, avec quoi demander à celui qui a fait le site. On ne prévient pas tes clients à ta place. On ne publie rien.
Ça remplace un avocat / un audit officiel ?
Non. Ce n’est pas un tampon « conforme RGPD » ni un audit à brandir devant un investisseur. C’est une sentinelle : on cherche si des données clients sont visibles, régulièrement. La CNIL, c’est encore toi.
Mon site est fait avec Lovable / Wix / un prestataire. Ça marche ?
Oui, surtout. Beaucoup de fuites aujourd’hui, ce n’est pas un hacker de film : c’est une liste trop ouverte. On est faits pour ça. Toi tu n’as pas besoin de savoir comment c’est construit.
Combien ça coûte ?
Un pentest complet d’un site, c’est 99 € en une fois. Si tu veux qu’on repasse ensuite chaque mois, c’est 39 €/mois. Plusieurs sites : sur devis. Et c’est garanti — si le pentest ne t’apprend rien d’utile, tu ne le paies pas.
Vous allez voir les données de mes clients ?
On ne les emporte pas. On vérifie si elles sont visibles sans compte. Si oui, c’est déjà le problème — n’importe qui sur internet peut faire la même chose. Le rapport te le dit, sans copier tes fichiers.
Je dois tout arrêter pour commencer ?
Non. Tu nous donnes l’adresse du site, tu signes que c’est le tien, on lance le premier contrôle. Ton site reste en ligne.