Ce qu’une mise à jour corrige vraiment
Un éditeur de logiciel découvre une brèche, la corrige, puis publie le correctif. Le problème se déplace alors du côté de l’utilisateur. La faille est décrite publiquement, donc connue aussi des personnes mal intentionnées, et chaque machine restée sur l’ancienne version devient une cible documentée. Retarder l’installation d’un correctif de sécurité, c’est laisser ouvert un trou dont le plan d’accès circule.
Les chiffres du baromètre national de la maturité cyber des TPE-PME 2025 (Cybermalveillance.gouv.fr, avec la CPME, le Medef et l’U2P) donnent la mesure du phénomène. Parmi les entreprises victimes capables d’identifier la cause de leur incident, 18 % pointent des failles de sécurité, contre 14 % l’année précédente, et 11 % des sites internet vérolés consultés (communiqué du 7 octobre 2025). L’hameçonnage arrive en tête avec 43 %, mais la faille non corrigée est le seul de ces vecteurs que le dirigeant peut fermer tout seul, sans compétence particulière.
L’ANSSI place d’ailleurs la maintenance dans son socle de base. Son guide d’hygiène informatique liste 42 mesures essentielles pour toute organisation, dont la tenue à jour des systèmes et des applications, et le dispositif Cybermalveillance reprend la même exigence dans ses 10 mesures essentielles, où la mise à jour figure en troisième position (guide d’hygiène informatique, fiche 10 mesures). Ce n’est pas un conseil réservé aux grandes structures. C’est le socle.
Lister tout ce qui se met à jour dans l’entreprise
Le premier réflexe consiste à élargir la liste au-delà de l’ordinateur du bureau, car un système d’information de TPE comprend aussi des smartphones, la box internet, une imprimante connectée, éventuellement des caméras ou une TV. Chacun de ces équipements embarque un logiciel qui a ses failles. Un inventaire écrit sur une demi-page suffit pour ne rien oublier.
| Équipement | Où vérifier la mise à jour | Fréquence conseillée |
|---|---|---|
| PC Windows ou Mac | Paramètres système, rubrique mise à jour | Automatique, à laisser activé |
| Smartphones et tablettes | Réglages, rubrique mise à jour du système et des applications | Automatique, à laisser activé |
| Box internet et routeur | Espace d’administration du matériel | Vérification manuelle une fois par trimestre |
| Site web (CMS, thème, extensions) | Tableau de bord d’administration du site | Chaque semaine |
| Logiciels métier et imprimantes connectées | Menu d’aide du logiciel ou écran de l’imprimante | Vérification manuelle une fois par mois |
Le site web mérite une attention spécifique. Il est visible par tout le monde, il tourne 24 heures sur 24, et ses extensions se mettent rarement à jour toutes seules. Un plugin de formulaire resté sur une ancienne version pendant un an, cela s’est vu chez des TPE qui pensaient leur site « terminé ». Un site ne se termine pas, il se maintient.
Activer les mises à jour automatiques
Sur les ordinateurs et les téléphones, le réglage existe déjà. L’activation prend deux minutes par appareil, et elle supprime la décision quotidienne de repousser. Cybermalveillance formule la règle sans détour : appliquer les mises à jour de sécurité sur tous les appareils dès qu’elles sont proposées.
Deux précautions rendent l’automatique supportable au quotidien. Planifier le redémarrage en dehors des heures d’ouverture évite qu’un poste se relance au milieu d’un rendez-vous client. Et pour les mises à jour majeures qui changent de version du système, un décalage de quelques semaines reste raisonnable, le temps que les éditeurs de logiciels métier confirment la compatibilité. Reporter une version, ce n’est pas reporter les correctifs de sécurité, qui arrivent séparément.
Traiter ce que l’automatique ne couvre pas
Automatique ne veut pas dire complet. Trois familles d’équipements échappent au réglage par défaut, et ce sont souvent elles qui présentent la brèche.
Le site web d’abord. Les mises à jour du CMS, du thème et des extensions se déclenchent depuis le tableau de bord d’administration, parfois en un clic, mais elles ne se font jamais sans action. Un passage hebdomadaire de dix minutes suffit, et la rubrique extensions signale elle-même les versions obsolètes.
La box internet ensuite. Son logiciel se met à jour depuis l’espace d’administration, généralement accessible par le navigateur. Beaucoup de boxes téléchargent le correctif mais n’installent qu’après un redémarrage manuel. Un redémarrage trimestriel vérifié vaut mieux qu’une mise à jour téléchargée depuis deux ans.
Les logiciels métier enfin, et surtout ceux installés sur une machine dédiée (caisse, atelier, suivi de production). Leur maintenance dépend de l’éditeur ou de l’installateur. Avant toute montée de version majeure, il reste une précaution non négociable dans une TPE : vérifier que la sauvegarde des données suit la règle 3-2-1. Une mise à jour qui tourne mal se répare. Des données perdues au passage, beaucoup moins.
Remplacer ce qui n’est plus mis à jour
Il arrive que la mise à jour n’existe plus. C’est le cas de Windows 10 depuis le 14 octobre 2025 : le système fonctionne toujours, mais Microsoft ne fournit plus de correctifs de sécurité ni d’assistance technique (page officielle Microsoft). Un poste dans ce cas ne devient pas inutilisable du jour au lendemain. Il devient une dette qui grossit à chaque faille découverte, sans correctif jamais publié.
La même logique s’applique aux logiciels dont l’éditeur a fermé, aux imprimantes sans pilote pour les systèmes récents, aux box que le fournisseur ne maintient plus. La question à se poser n’est pas « est-ce que ça marche encore ? » mais « qui corrige la prochaine faille ? ». Quand la réponse est personne, l’équipement a un horizon. Le remplacer, ou l’isoler du réseau, fait partie des décisions qui coûtent bien moins cher qu’un incident.
Ce que les mises à jour ne règlent pas
Une seule technique ne suffit pas, et le baromètre 2025 le montre bien. 43 % des incidents déclarés viennent de l’hameçonnage, que le meilleur des correctifs n’empêche pas, puisqu’il exploite la confiance d’une personne et pas un défaut de logiciel. Les dispositifs de protection déclarés par les TPE-PME dessinent d’ailleurs un socle plus large, avec 84 % d’antivirus, 78 % de sauvegardes et 69 % de pare-feu, d’après le même baromètre (chiffres clés du dispositif).
Autre limite honnête : la mise à jour automatique ne dispense ni d’un minimum de discernement face aux messages inattendus, ni d’une politique de mots de passe solides, ni d’une sauvegarde testée. Le guide ANSSI chiffre ce socle à 42 mesures, et les mises à jour n’en sont qu’une. Si un incident survient malgré tout, la marche à suivre dans les 72 premières heures est décrite dans notre article sur la réaction après une cyberattaque, et la gestion des messages suspects dans celui sur les arnaques par email.
Faut-il installer chaque mise à jour le jour de sa sortie ?
Pour les correctifs de sécurité, oui, c’est la recommandation de Cybermalveillance (les appliquer dès qu’elles sont proposées). Pour les montées de version majeures, quelques semaines d’attente afin de vérifier la compatibilité des logiciels métier restent acceptables, à condition que les correctifs de sécurité de la version actuelle soient installés pendant ce temps.
Mon PC Windows 10 fonctionne encore, pourquoi le remplacer ?
Parce qu’il ne reçoit plus aucun correctif de sécurité depuis le 14 octobre 2025, comme le confirme la page officielle de Microsoft. Chaque nouvelle faille découverte dans Windows 10 restera donc ouverte. Un poste concerné peut encore servir un temps si son usage est isolé, mais il ne doit plus porter de données clients ni servir à la navigation professionnelle.
Les mises à jour automatiques peuvent-elles casser un logiciel ?
Les correctifs de sécurité, très rarement, car ils ne changent pas de fonctionnalités. Les montées de version majeures, plus souvent, en particulier avec des logiciels métier anciens. D’où la précaution de sauvegarde avant les mises à jour importantes et le décalage de quelques semaines sur les changements de version du système.
Comment savoir si mon site web a besoin d’une mise à jour ?
Le tableau de bord d’administration du site affiche les extensions et le thème dont la version n’est plus à jour, souvent avec un badge de notification. Dix minutes par semaine suffisent à traiter ces alertes dans l’ordre où elles apparaissent.
Qui s’occupe des mises à jour dans une TPE sans informaticien ?
Sur les postes et téléphones, l’activation du mode automatique fait l’essentiel du travail, et le dirigeant ou un collaborateur peut la régler lui-même en quelques minutes. La box internet, le site web et les logiciels métier demandent une vérification manuelle périodique, qui peut être confiée au prestataire informatique avec une fréquence écrite dans le contrat de maintenance.
Article mis à jour le 10/10/2026.