Pourquoi les téléservices sont une cible prioritaire
Contrairement aux pages d’information statiques, les formulaires et services en ligne interagissent avec des bases de données et collectent des informations personnelles : noms, adresses, numéros de téléphone, parfois des pièces d’identité numérisées. Ce sont ces points d’interaction qui sont ciblés en priorité par les attaquants. Une faille dans un formulaire de demande d’acte d’état civil peut exposer des centaines de dossiers.
Les mesures techniques indispensables
- HTTPS sur toutes les pages de formulaire : sans négociation possible. Les données saisies doivent être chiffrées en transit.
- Protection anti-spam et anti-robots : un CAPTCHA ou une protection honeypot sur tous les formulaires pour bloquer les soumissions automatisées.
- Validation côté serveur : ne jamais faire confiance aux données saisies par l’utilisateur. Chaque champ doit être validé côté serveur pour prévenir les injections SQL et les attaques XSS.
- Limitation des données collectées : principe de minimisation RGPD — ne collectez que les données strictement nécessaires à la démarche.
- Stockage sécurisé : les données soumises via les formulaires ne doivent pas être stockées en clair dans la base de données. Les pièces jointes doivent être stockées hors de l’arborescence web publique.
FranceConnect : la solution pour les démarches sensibles
Pour les démarches nécessitant une authentification forte de l’administré (demande d’acte d’état civil, accès à un dossier personnel), l’intégration de FranceConnect est recommandée. Ce dispositif gouvernemental permet aux citoyens de s’authentifier via leurs identifiants Impôts, Ameli ou la Carte Vitale, sans que la commune n’ait à gérer un système d’authentification propre. C’est plus sécurisé, moins coûteux à maintenir et aligné avec l’expérience numérique des services de l’État.
Le paiement en ligne : déléguer à un prestataire certifié
Si votre commune propose le paiement en ligne (cantine, activités, droits de voirie…), ne gérez jamais les données bancaires directement. Utilisez exclusivement des prestataires de paiement certifiés PCI DSS comme Tipi (solution officielle pour les régies publiques), PayFip ou des prestataires privés certifiés. La certification PCI DSS garantit que l’infrastructure de paiement répond aux normes de sécurité les plus élevées du secteur.
