Cybersécurité : et si nos développeurs étaient notre première ligne de défense contre le piratage ?

Les cyberattaques

Les attaques informatiques ne sont plus réservées aux grandes entreprises ou aux géants du numérique. En France, ce sont désormais les PME, hôpitaux et collectivités locales qui se retrouvent en première ligne. Les cybercriminels l’ont bien compris : ces structures disposent souvent de moyens limités pour se protéger efficacement.

Mais d'autres facteurs, plus discrets, pourraient aggraver la situation dans les années à venir : la montée en puissance des outils préfabriqués no-code et la dépendance croissante à l’intelligence artificielle.

Les cyberattaques les structures fragiles

Selon le 10ᵉ Baromètre de la cybersécurité des entreprises 2024 du CESIN publié en janvier 2025, 47 % des entreprises interrogées ont déclaré avoir subi au moins une cyberattaque significative en 2024.

Ces structures sont vulnérables pour plusieurs raisons : infrastructures vieillissantes, budgets IT limités, externalisation mal maîtrisée ou encore culture numérique insuffisante. Mais une autre question émerge : quelles compétences techniques allons-nous mobiliser demain pour créer, maintenir et sécuriser ces systèmes ? Sont-elles encore à la hauteur ?

No-code, IA : la facilité a ses limites

Commençons par le no-code. Il s'agit souvent de plateformes permettant de créer des sites web, des applications ou des outils métiers en quelques clics, sans écrire une seule ligne de code. Ces solutions sont rapides, efficaces et produisent des interfaces fonctionnelles. Mais derrière cette simplicité apparente se cachent parfois des lacunes importantes : absence d’optimisation, performances discutables, référencement négligé, ou pire encore, des failles de sécurité.

La plupart des entreprises françaises restent aujourd'hui encore prudentes face à ces solutions « magiques », même si elles sont alléchantes financièrement. Mais dans un contexte de pénurie de profils techniques, leur adoption pourrait bien s'accélérer.

Quant à l’intelligence artificielle, déjà bien implantée dans les outils de développement, elle permet de générer du code ou des applications complètes en quelques minutes. Et cela pousse certains développeurs à déléguer leur réflexion technique aux algorithmes.

Et les CMS dans tout ça ?

Les CMS — Content Management Systems — ont joué un rôle clé dans la construction du web de ces dix dernières années. WordPress, Joomla, Drupal... ont permis à des millions de sites de voir le jour sans nécessiter de véritable expertise technique. Une révolution pour les indépendants, les petites structures, ou les collectivités locales.

Mais cette accessibilité a aussi fait des CMS des cibles idéales pour les cybercriminels. Selon le rapport de sécurité de Sucuri 2023, plus de 39,1 % des applications CMS étaient obsolètes au moment de l’infection. Pourquoi ? Parce que les failles viennent rarement de l’outil lui-même, mais de son usage : plugins obsolètes, thèmes non sécurisés, mots de passe faibles, etc.

Alors pourquoi continuer à miser sur des CMS malgré ces chiffres alarmants ? La réponse est simple : Le coût. Un site sous WordPress — ou toute autre CMS — coûte souvent bien moins cher qu'un développement sur mesure, conçu ligne par ligne par un développeur expérimenté. Ce choix budgétaire est tentant, mais se fait parfois au détriment de la qualité... et de la sécurité.

Il faut comprendre que créer un site internet prêt à l'emploi via un CMS, ne demande pas les mêmes compétences que développer une application web sur-mesure. Ce sont deux approches légitimes, mais qui ne doivent pas être confondues, surtout lorsqu'on parle de risques techniques et de cybersécurité.

🔍 Focus métier : Intégrateur CMS ≠ Développeur web

Il est essentiel de distinguer deux rôles bien différents, souvent confondus :

L’intégrateur WordPress installe, configure, personnalise des thèmes, ajoute des plugins et met rapidement un site en ligne. Il maîtrise l’interface WordPress, mais intervient rarement dans le code source.
- Il contrôle une petite partie de l’environnement technique.
- Formation accessible facilement en reconversion professionnelle.
- Ne nécessite pas un bagage technique avancé, (notez que certains intégrateurs montent en compétences et finissent par développer).
Le développeur web, lui, conçoit des solutions sur mesure, comprend les enjeux de sécurité, optimise les performances, gère les API, la scalabilité et code chaque fonctionnalité.
- Il a une vision globale de l'application et de sa sécurité.
- Professionnel de l'informatique, le développeur est formé et conscient des cyber-risques.
- Nécessite d'un bagage technique. La formation passe souvent par des écoles d'ingénieurs spécialisées en informatique.

Ce n’est pas une question de hiérarchie des compétences, de bon ou de mauvais outils, mais de niveau d’intervention technique et de responsabilité. En matière de cybersécurité, il est crucial de savoir à qui — et a quel environnement technique — l’on confie son infrastructure numérique et ses données.

En résumé, ces deux métiers n'ont ni le même niveau de compétence, ni le même temps de production et n'ont donc pas le même coût; mais peuvent parfois, travailler sur des sujets similaires.

Quel enseignement à tirer de l'expérience CMS ? Il s'agit probableblement de compréhension. Mieux comprendre ce qu'ils impliquent, et les risques potentiels qu'ils comportent. Et cet enseignement vaut aussi pour ce qu'il se passe aujourd'hui avec l'IA.

Les développeurs juniors face à un déficit de fondamentaux

De nombreux recruteurs le constatent : les profils juniors issus de bootcamps ou de formations accélérées sont souvent opérationnels sur des outils modernes, mais manquent de bases solides. Protocoles réseau, gestion des accès, structure des bases de données ou sécurité applicative : ces fondamentaux sont parfois survolés, voire absents.

Pire encore, certains deviennent dépendants d’outils comme Copilot ou ChatGPT, ou autres IA, pour générer du code sans pour autant comprendre pleinement ce qui est produit. Selon une enquête de Stack Overflow en 2023, 42 % des développeurs juniors utilisent une IA générative quotidiennement. Or, sans recul critique, cela favorise l’intégration de failles, de mauvaises pratiques, voire de vulnérabilités issues directement des suggestions de l'IA.

Ce phénomène pourrait s’intensifier avec la généralisation des outils "clé en main". Le risque ? Voir se multiplier des applications mises en ligne sans audit, sans validation côté serveur, avec des mots de passe stockés en clair, des API non protégées... Et finalement — comme avec les CMS — exposer des données critiques à des attaques évitables.

Les entreprises doivent investir dans le "socle humain"

Face à ces enjeux, il est urgent de rééquilibrer les efforts et ne ne pas tomber trop bas dans la facilité. On investit souvent dans les logiciels de cybersécurité, les firewalls, les solutions d'analyse et à présent dans l'IA... mais encore trop peu dans les compétences humaines. Voici quelques pistes concrètes :

Former en continu : intégrer la sécurité dès la formation initiale, organiser des ateliers internes, et encourager les formations professionnelles pour les équipes techniques.
Auditer le code : mettre en place des revues systématiques, faire appel à des experts extérieurs, et programmer des tests d’intrusion réguliers.
Encadrer les juniors : favoriser l’accompagnement par des profils seniors, via du mentorat ou du coaching technique.
Sensibiliser toute l’entreprise : les décideurs non-tech (DAF, RH, élus locaux...) doivent comprendre les enjeux techniques pour prendre des décisions éclairées.
Alerter sur les limites de l’IA : former les jeunes développeurs et les décideurs aux risques cachés derrière les promesses de l'automatisation low cost.

Conclusion : la cybersécurité commence dans l’éditeur de code

La cybersécurité ne se limite pas aux firewalls — pare-feu en Français — ou aux antivirus. Elle commence bien souvent dès la première ligne de code, dans les choix techniques, d’architecture, dans la qualité du code informatique produit et dans la rigueur des équipes techniques. Sans oublier la culture numérique globale de l’entreprise.

Alors que les outils deviennent toujours plus simples, et les menaces toujours plus sophistiquées, il est vital de ne pas sacrifier la compétence humaine sur l’autel de la facilité. Comme le rappelle si bien l’ANSSI : « La cybersécurité est l’affaire de tous » — et cela commence avec nos développeurs.