Marketing de la peur : comment repérer le prestataire qui exagère vos risques

« J'ai analysé votre site et relevé 38 failles. » « Votre bannière cookies vous expose à une sanction. » « Google va vous déclasser le mois prochain. » Si l'une de ces phrases vous a déjà été adressée, vous avez rencontré le marketing de la peur appliqué au numérique.

Ces messages fonctionnent pour une raison simple : vous n'avez ni le temps ni les outils pour les contredire sur le moment. Pourtant, presque chaque menace de ce type laisse une trace vérifiable, chez la CNIL, dans votre compte Google ou dans une base de vulnérabilités publique. Savoir où regarder suffit souvent à dégonfler l'alerte, ou à confirmer qu'elle mérite votre attention.

L'asymétrie d'information, terrain de jeu du marketing de la peur

En 1970, l'économiste George Akerlof a décrit le marché des voitures d'occasion : le vendeur connaît l'état du moteur, l'acheteur non. Ce déséquilibre porte un nom, l'asymétrie d'information, et ses travaux sur le sujet lui ont valu le prix Nobel d'économie en 2001.

Le numérique reproduit ce schéma. Vous ne pouvez pas ouvrir le code de votre site pour juger si une faille est exploitable. Vous ne lisez pas les décisions de la CNIL le soir. Vous ne savez pas comment Google classe vos pages. Le prestataire, lui, parle cette langue.

Le problème naît quand la même personne pose le diagnostic et vend le remède. Un garagiste qui vous annonce un embrayage mort a intérêt à ce que vous le croyiez. Un prestataire web aussi.

La vente par la peur repose sur trois leviers combinés :

• un risque invisible, que vous ne pouvez pas constater vous-même ;
• une conséquence chiffrée, souvent sans rapport avec votre taille ;
• un délai court, qui empêche toute vérification.

Retirez un seul de ces leviers et l'argumentaire perd sa force. Un risque que vous pouvez vérifier ne fait plus peur de la même façon. Un délai raisonnable laisse la place à un second avis. Les critères qui suivent visent tous le même but : rééquilibrer l'information, sans vous demander de devenir expert en sécurité ou en référencement.

Le faux diagnostic, un rapport automatique déguisé en expertise

Le scénario le plus courant commence par un mail non sollicité : « J'ai analysé votre site, j'ai trouvé 38 vulnérabilités. » En pièce jointe, un PDF avec du rouge partout.

Ce rapport sort presque toujours d'un scanner automatique. Des outils gratuits comme Mozilla Observatory, securityheaders.com ou Lighthouse, intégré à Chrome, produisent ce genre de liste en quelques secondes. Ils sont utiles. Mais ils ignorent ce qui compte pour votre activité.

Un en-tête HTTP manquant, comme Content-Security-Policy, est souvent classé « critique » dans ces rapports. Sur un site vitrine sans formulaire ni espace client, son absence relève de la bonne pratique à corriger, pas de l'incendie. À l'inverse, une extension WordPress obsolète avec une faille publiée et activement exploitée mérite une vraie attention.

Le nombre de lignes rouges ne mesure pas le niveau de risque. Un diagnostic sérieux répond à trois questions : la faille est-elle exploitable sur votre site, que pourrait obtenir un attaquant, et quelle est la probabilité que cela arrive ?

Les vulnérabilités connues portent un identifiant public, le numéro CVE, accompagné d'un score de gravité CVSS consultable dans la base du NIST. Un prestataire qui évoque une faille précise sans donner cet identifiant, ni la version du composant concerné, vous demande de le croire sur parole.

Mon conseil : exigez toujours la preuve. Une capture, une URL, un numéro de CVE, une version de logiciel. Un vrai problème se montre.

Mon site risque-t-il vraiment une amende RGPD ?

Le chiffre brandi est toujours le même : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Il est exact. C'est le plafond fixé par l'article 83 du RGPD pour les manquements les plus graves. Le présenter comme le tarif qui attend une PME de dix salariés est en revanche trompeur.

En France, la CNIL dispose depuis 2022 d'une procédure de sanction simplifiée pour les dossiers les moins complexes, avec une amende plafonnée à 20 000 euros. Elle publie ses décisions sur son site et sur Légifrance. Une demi-heure de lecture donne une idée bien plus juste des montants et des manquements réellement sanctionnés que n'importe quelle plaquette commerciale.

Le risque existe, il ne faut pas le nier. La CNIL contrôle aussi des petites structures, souvent à la suite d'une plainte : un ancien salarié, un client mécontent, un prospect qui n'arrive pas à se désinscrire. Les sujets qui reviennent sont concrets : cookies déposés sans consentement, vidéosurveillance des salariés, sécurité insuffisante des données, absence de durée de conservation.

Ce qui doit vous alerter, c'est le « pack conformité » vendu en urgence, sans état des lieux préalable. Vos obligations dépendent de vos traitements de données. Un artisan avec un simple formulaire de contact n'a pas les mêmes obligations qu'une boutique en ligne qui conserve l'historique d'achat de milliers de clients.

Pour vérifier seul, la CNIL met à disposition un guide pratique destiné aux TPE et PME, ainsi qu'un modèle de registre des traitements. Si un prestataire ne les mentionne jamais, demandez-vous pourquoi.

Comment vérifier une menace de pénalité Google ?

« Votre site va être pénalisé par Google. » La phrase porte parce que, pour beaucoup de PME, Google reste la première source de contacts entrants. Elle se vérifie pourtant gratuitement.

Une pénalité au sens strict, Google l'appelle une action manuelle : un examinateur humain a constaté une violation des règles du moteur, comme du texte caché ou des liens achetés. Ces actions sont notifiées dans Google Search Console, rubrique « Actions manuelles ». Si ce rapport indique qu'aucun problème n'a été détecté, aucun prestataire n'en sait plus que Google sur ce point.

Search Console contient aussi un rapport « Problèmes de sécurité », qui signale les sites piratés ou distribuant des logiciels malveillants. Là encore, l'information vient directement de la source.

Le reste relève des mises à jour d'algorithme. Une baisse de trafic après une mise à jour n'est pas une sanction : Google a revu ses critères et d'autres pages répondent mieux à la recherche. La réponse passe par le contenu et la technique, pas par un forfait de « levée de pénalité ».

Méfiez-vous aussi des menaces sur la vitesse. Les Core Web Vitals font partie des signaux de classement, mais Google les présente comme un critère parmi beaucoup d'autres, derrière la pertinence du contenu. Un score orange sur PageSpeed Insights ne fera pas disparaître votre site des résultats.

Si vous n'avez pas accès à votre Search Console, c'est le premier point à régler, avant toute prestation. Ce compte doit être à votre nom, pas à celui de votre prestataire.

Urgence artificielle et chiffres sortis de nulle part

Le 14 septembre 2026, Les Echos ont publié un article intitulé « IA : marketing de la peur ». Le site trouveruneagence.fr, qui le relaie, énumère les phrases qui reviennent le plus souvent dans ces argumentaires : l'IA serait déjà adoptée par vos concurrents, les moteurs de recherche vous feraient disparaître, et il faudrait agir avant la fin du trimestre. Son diagnostic tient en quatre mots : « L'urgence remplace la démonstration. »

Cette urgence prend des formes reconnaissables : une remise valable 48 heures, un tarif qui augmente lundi, un créneau « libéré exceptionnellement ». Aucune de ces contraintes ne découle d'un fait technique. Une faille ne devient pas plus grave parce qu'une offre expire vendredi.

Les chiffres sans source jouent le même rôle. L'exemple le plus répandu affirme que 60 % des PME victimes d'une cyberattaque ferment dans les six mois. Il circule depuis des années dans les présentations commerciales, et je n'ai jamais réussi à remonter jusqu'à une étude identifiable avec une méthodologie publiée. Un chiffre honnête vient avec un organisme, une année et un périmètre. Pour la cybersécurité des entreprises françaises, Cybermalveillance.gouv.fr et l'ANSSI publient des rapports sourcés.

L'urgence liée à l'IA a un coût différé. Un projet signé dans la précipitation, sans besoin métier clairement écrit, peut laisser derrière lui du code généré que personne dans l'entreprise ne comprend, un risque qui se paie au moment de la première évolution. Partir de votre besoin, puis exiger un livrable précis et un coût, reste le meilleur antidote.

Comment reconnaître un prestataire web malhonnête ?

Le mot « malhonnête » est parfois trop fort. Certains prestataires croient sincèrement à leurs alertes, faute de compétence pour les nuancer. Pour vous, le résultat est le même. Cinq critères permettent de faire le tri.

• Il cite ses sources : article de loi, décision de la CNIL, numéro de CVE, documentation officielle de Google.
• Il vous laisse du temps. Hors incident en cours, un diagnostic reste valable la semaine suivante.
• Il accepte un second avis, et le propose parfois lui-même. Un constat solide ne craint pas la contre-expertise.
• Il sépare le diagnostic de la réparation. Un état des lieux facturé à part, avec un livrable remis même si vous n'allez pas plus loin, change la nature de la relation.
• Il hiérarchise. Trois priorités argumentées valent mieux que cinquante points tous classés « critiques ».

Ce dernier critère fait la différence entre un rapport de scanner et une analyse. C'est l'enjeu d'un audit de sécurité mené correctement : relier chaque faille à un scénario d'attaque plausible et à son impact sur l'activité, pour que le dirigeant décide en connaissance de cause.

Attention toutefois au réflexe inverse. Toutes les alertes ne sont pas des manœuvres. Un site WordPress dont les extensions n'ont pas été mises à jour depuis deux ans présente un risque réel, même si le mail qui vous le signale est maladroit. Certaines situations exigent aussi d'agir vite : un site piraté qui redirige vos visiteurs, une fuite de données clients en cours. Le RGPD impose d'ailleurs de notifier une violation de données personnelles à la CNIL dans les 72 heures. Dans ces cas, l'urgence est fondée, mais un professionnel sérieux vous montre la preuve avant d'intervenir.

Un risque réel supporte la vérification

Une alerte fondée résiste aux questions, au délai et au regard d'un tiers. Une vente par la peur, non : elle a besoin que vous signiez avant d'avoir vérifié.

Parmi les alertes que vous avez reçues cette année, combien auriez-vous pu confirmer ou écarter en dix minutes, avec votre Search Console, une décision de la CNIL ou un simple numéro de CVE ?

Sources : IA et marketing de la peur : comment ne pas se faire vendre une prestation par l'angoisse (trouveruneagence.fr)