La Poste paralysée par une attaque DDoS : ce qu'une PME doit en retenir
Depuis le 22 décembre, les sites de La Poste, Colissimo et La Banque Postale sont saturés par une attaque par déni de service. Ce que c'est, et comment protéger vos propres services en ligne.
Depuis le lundi 22 décembre 2025, le groupe La Poste subit une attaque par déni de service distribué, ou DDoS. Le site de La Poste, le site et l'application de La Banque Postale, Colissimo, Digiposte et La Poste Mobile ont été fortement perturbés, en pleine période de colis de Noël. Le groupe indique que l'attaque n'a pas entraîné d'intrusion dans ses systèmes ni d'impact sur les données des clients. Le 23 au matin, le ministre de l'Économie Roland Lescure indiquait qu'elle se poursuivait, en ayant baissé en intensité. Une PME n'est pas La Poste. Mais l'épisode illustre une menace très différente du piratage, et que beaucoup d'entreprises sous-estiment.
Ce qui s'est passé
Selon les informations disponibles au 23 décembre :
- l'attaque a commencé le 22 décembre ; une panne survenue le samedi 20 était déjà rapportée comme liée à un DDoS ;
- les services en ligne grand public ont été rendus difficiles ou impossibles d'accès, et le suivi des colis était indisponible ;
- La Banque Postale affirme que ses services essentiels (paiements, échanges entre banques, traitement des flux) n'étaient pas touchés, et les retraits et opérations en bureau de poste restaient possibles ;
- les colis continuaient d'être livrés, avec des perturbations.
L'attaque survient quelques jours après celle qui a visé le ministère de l'Intérieur, dont nous parlions dans notre article de la semaine dernière. Les deux sont de nature très différente.
Un DDoS, ce n'est pas un piratage
Un piratage, c'est quelqu'un qui entre dans vos systèmes : il lit, vole ou chiffre vos données. Un DDoS, c'est quelqu'un qui bloque la porte. Des milliers ou des millions de machines, souvent des ordinateurs et objets connectés infectés à l'insu de leurs propriétaires, envoient en même temps un flot de requêtes vers un site. Le serveur, saturé, ne répond plus aux vrais visiteurs.
Rien n'est volé. Mais le service est indisponible, et pour une entreprise qui vend ou prend des commandes en ligne, l'indisponibilité coûte directement : clients qui ne peuvent pas commander, réservations perdues, équipes qui ne peuvent plus travailler dans leurs outils en ligne. Les périodes de forte activité, comme Noël, sont choisies justement parce que l'effet y est maximal.
Une PME peut-elle être visée ?
Rarement par une attaque de cette ampleur, qui vise des symboles. Mais les attaques de taille plus modeste existent : par vengeance, par chantage (« payez ou votre boutique reste hors ligne »), ou simplement parce que votre site partage un serveur avec une cible. Et une saturation n'est pas toujours malveillante : un passage télé, une campagne qui marche trop bien, un robot d'indexation mal réglé peuvent avoir le même effet.
La vraie question n'est donc pas « vais-je être attaqué ? » mais « que se passe-t-il si mon site ou mon outil en ligne ne répond plus pendant une journée ? ».
Ce qui protège réellement
- Un service de protection en amont. Les réseaux de diffusion de contenu (CDN) et les services anti-DDoS absorbent le trafic massif avant qu'il n'atteigne votre serveur. Beaucoup d'hébergeurs en incluent un de base. Vérifiez que c'est le cas du vôtre.
- Séparer ce qui est public de ce qui est vital. La Banque Postale a pu maintenir ses paiements parce que ses systèmes essentiels ne dépendaient pas de son site grand public. Votre logiciel de gestion interne n'a pas à être exposé sur Internet de la même façon que votre site vitrine.
- Un plan de repli simple. Si la boutique en ligne tombe, comment prend-on une commande ? Par téléphone, par e-mail, avec quel message sur les réseaux sociaux ? Ce plan tient sur une page et se prépare à froid.
- Un hébergeur joignable. En cas d'attaque, il faut quelqu'un qui décroche et peut activer des protections. Un hébergement « au moins cher » sans support humain est un mauvais calcul pour un service critique.
- Une surveillance. Être alerté quand le site ne répond plus, avant que les clients ne le signalent.
Notre approche
Quand nous concevons un site e-commerce ou un outil en ligne, nous prévoyons dès le départ où il sera hébergé, comment il sera protégé et surveillé, et ce qui doit continuer à fonctionner si une partie tombe. Nous hébergeons en France, ou chez le client quand c'est préférable. C'est moins spectaculaire qu'une nouvelle fonctionnalité, mais c'est ce qui fait qu'un outil tient le jour où il est le plus sollicité.
Si vous voulez savoir ce qui se passerait si votre site tombait demain, c'est une bonne question pour un rendez-vous de 30 minutes. Et bonnes fêtes à toutes les équipes qui travaillent pendant que nous fermons nos ordinateurs.