Protéger › Cybersécurité
Cybersécurité des PME · Troyes & Reims
Votre fichier clients, vos devis, vos commandes, votre messagerie, votre site. Ça ne pèse rien, ça ne se voit pas, et c'est pourtant ce qui a le plus de valeur chez vous. De l'entreprise d'une personne à la PME de 250 salariés, dans le commerce, l'industrie, les services ou l'associatif.
Où est cet or, exactement ? Comment est-il surveillé ? Êtes-vous bien assuré ? En général, personne ne sait. C'est très exactement là qu'est le problème, et c'est pour ça que nous faisons ce métier.
Zetruc sécurise les données des PME de 1 à 250 salariés à Troyes et à Reims : diagnostic dès 980 € HT, supervision Wazuh dès 490 € HT par mois.
Un trésor, ça se préserve
Ce ne sont pas des questions techniques : ce sont celles que posent un assureur, un donneur d'ordre, un financeur ou un auditeur, souvent le jour où il est trop tard pour chercher. Nous les posons avant eux, dans cet ordre, et nous écrivons les réponses noir sur blanc.
Ce qu'on nous répond« Notre informaticien, je crois. »
Il garde vos postes et votre réseau, et il le fait bien. Votre site, votre messagerie et vos données clients ne sont presque jamais dans son périmètre : personne ne s'en sent vraiment responsable. C'est l'angle mort, et c'est notre terrain.
Ce qu'on nous répond« Sur le serveur… et un peu dans le cloud. »
Fichier clients, boîtes mail, sauvegardes, outils en ligne, sous-traitants qui y ont accès. Très peu d'entreprises ont fait la liste, et c'est pourtant elle qui décide de tout le reste. C'est la première section du classeur cyber, et souvent la plus instructive.
Ce qu'on nous répond« Il y a un antivirus, non ? »
Un antivirus regarde un poste de travail. Personne ne regarde qui se connecte à votre site à trois heures du matin, ni quel fichier vient d'y apparaître. Nous, si : Wazuh, sept jours sur sept, avec des alertes traitées par des gens.
Ce qu'on nous répond« On doit avoir quelque chose dans le contrat. »
Le contrat existe souvent. Ce qui manque, ce sont les réponses au questionnaire cyber, les preuves et les dates, et sans elles, l'indemnisation se discute au pire moment. On monte le dossier avec vous. Avant.
Chez Zetruc, on sait qu'un trésor, ça se préserve et ça se protège.
« C'est quoi votre truc ? On en fait un trésor » : c'est notre phrase depuis le premier jour. Elle a fini par vouloir dire quelque chose de très concret. Le truc qu'on a construit avec vous (votre site, votre boutique, votre fichier, votre nom en ligne) on ne se contente pas de le fabriquer. On le garde.
Alors, êtes-vous concerné ? →La question que tout le monde se pose
C'est la phrase que nous entendons le plus souvent, et elle repose sur un malentendu : personne ne vous a choisi. Des robots parcourent le web en continu et s'arrêtent sur ce qui est mal fermé, sans regarder votre taille ni votre métier. Vous n'êtes pas visé. Vous êtes potentiellement une cible, ce qui est très différent, et un peu pire.
Pas de site marchand, mais une boîte mail par laquelle passent tous les devis. Le jour où elle est détournée, un faux RIB part à un client, et c'est lui qui paie ailleurs.
Un fichier de clients, des documents confidentiels, une obligation de discrétion. Une fuite de données n'y coûte pas un chiffre d'affaires : elle coûte une réputation.
Un site vitrine qui « ne rapporte rien », jusqu'à ce qu'il affiche un avertissement rouge au moment où un donneur d'ordre s'y renseigne.
Des adhérents, des financeurs, des données personnelles à protéger. Et un conseil d'administration qui demandera, un jour, ce qui avait été prévu.
Le cas le plus visible : chaque heure d'arrêt est une heure sans commande, et un code greffé sur le tunnel de paiement se voit rarement à temps.
Le vrai sujet
C'est le calcul que tout le monde fait, et c'est le seul qui soit faux par le bas. Le chiffre d'affaires non réalisé, c'est la partie visible, celle qu'on sait poser sur un tableur. La vraie facture arrive après, en plusieurs fois, et personne ne l'additionne.
01
Les clients qui appellent, ceux qui commandent ailleurs en attendant, les commandes à refaire, les gestes commerciaux, les heures passées par vos équipes à rassurer au lieu de vendre. C'est souvent le poste le plus lourd, et il n'apparaît sur aucune facture.
02
Un avertissement rouge de Google au moment où un donneur d'ordre se renseigne, un client dont les données ont fuité, un article dans la presse locale, un avis qui reste en ligne. Ça se répare bien plus lentement qu'un serveur.
03
Campagnes à l'arrêt, historique de conversion perdu, audiences et signaux de suivi à reconstruire, apprentissage à refaire depuis zéro. Vous repayez pour racheter ce que vos campagnes avaient déjà appris.
04
Pages désindexées, positions perdues, site signalé comme dangereux. Remonter prend des mois, et pendant ces mois, vous achetez le trafic que vous aviez gratuitement.
05
Nettoyage, restauration, vérification, changement de tous les accès, rapport pour l'assureur, déclaration à la CNIL s'il y a des données personnelles, mots à écrire aux clients. Ce n'est pas une matinée.
06
Le fichier clients sans sauvegarde valide, les devis en cours, l'historique des commandes, les mails de dix ans. Certaines choses ne se rachètent pas : elles se perdent.
Nous ne vous ferons pas le calcul de votre côté : personne ne peut le faire à votre place, et un tableur qui ne compterait que les commandes perdues vous tromperait. Ce qu'on peut dire, c'est que le coût moyen d'une cyberattaque pour une PME est estimé à 466 000 €, chiffre sourcé sur notre blog, et que ce n'est pas une semaine de chiffre d'affaires.
En 2026, personne n'a envie d'une ligne de dépense supplémentaire : nous l'entendons chaque semaine. C'est pourquoi nous ne vendons pas la sécurité comme un investissement de plus, mais comme de la dépense évitée, exactement le raisonnement que vous tenez déjà avec votre assurance. À une différence près : ici, on peut aussi empêcher le sinistre.
La supervision commence à 490 € HT/mois. Vous ne saurez jamais ce qu'elle vous a évité, c'est tout l'inconfort du métier, et c'est très bien ainsi.
zeverif est notre vérificateur d'adresses, développé à l'agence et ouvert à tous : sept analyses croisées, cinq verdicts possibles, sans compte et sans rien stocker. Collez l'adresse d'un mail douteux, vous avez la réponse en quelques secondes.
Ce qu'on couvre, ce qu'on ne couvre pas
Une part de cet or est déjà gardée : les postes, le réseau, les serveurs internes, c'est le métier de votre informaticien. L'autre part (le site, la boutique, la messagerie, le fichier clients, votre nom en ligne) n'est presque jamais dans son périmètre. C'est celle-là que nous gardons, et nous ne prétendons pas garder l'autre. Voici la ligne, sans détour :
Un rançongiciel sur les postes de travail, le serveur de fichiers, l'ERP
Votre infogérant ou votre prestataire informatique.
Pas nous, et on préfère vous le dire tout de suite.
Votre boîte mail détournée, un faux RIB, une fraude au virement
Nous.
SPF, DKIM, DMARC, anti-phishing, reprise des accès.
Votre site piraté, l'avertissement rouge de Google
Nous.
Nettoyage, désinfection, sortie de liste noire.
Votre fichier clients exposé, la CNIL à prévenir sous 72 h
Nous, dès la première heure.
Constat, déclaration, notification à l'assureur.
Quelqu'un qui se fait passer pour vous en ligne
Nous.
Faux profils, faux site, usurpation de votre nom : c'est votre réputation.
Un code voleur greffé sur votre tunnel de paiement
Nous, si vous vendez en ligne.
C'est votre caisse : personne d'autre ne la surveille.
Nous savons travailler à côté de votre prestataire informatique, le classeur cyber sert d'ailleurs aux deux. Ce que nous ne ferons pas : vous laisser croire que nous couvrons ce qui n'est pas de notre ressort.
Ce qu'on fait, concrètement
On les prend dans l'ordre qui a du sens pour vous, et on vous dit franchement ce qui peut attendre. Rien n'est obligatoire, rien n'est vendu en bloc.
Savoir où vous en êtes, noir sur blanc.
Le parcours officiel de l'ANSSI, mené par un aidant cyber labellisé. Conçu pour les structures sans RSSI ni service informatique : on regarde ensemble, et vous repartez avec des priorités.
L'état des lieux complet : site, messagerie, accès, sauvegardes, hébergement, prestataires. Un rapport écrit, hiérarchisé, sans jargon inutile.
On attaque votre site avec les méthodes d'un attaquant réel, dans un cadre convenu et signé : périmètre, dates, limites. Vous recevez ce qu'on a trouvé, comment, et dans quel ordre corriger.
Notre outil public et gratuit : sept analyses croisées, cinq verdicts, sans compte ni stockage. Pour lever un doute en trente secondes.
Le durcissement, là où ça compte vraiment.
Déploiement sur vos comptes sensibles (messagerie, administration du site, outils métiers) et son suivi dans le temps : qui l'a activée, qui l'a perdue, qui arrive, qui part.
SPF, DKIM, DMARC et filtrage anti-phishing : vos mails arrivent à destination, et ceux qui usurpent votre nom n'arrivent plus.
WordPress, WooCommerce, PrestaShop : configurations, extensions, comptes, versions, droits d'accès. Sur l'existant, sans refonte imposée.
Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde. On les met en place hors ligne, et on vérifie qu'elles repartent.
Sécurisation du tunnel de paiement et dispositifs anti-fraude, pour les entreprises qui encaissent sur leur site.
La surveillance, sept jours sur sept.
Nous installons et paramétrons Wazuh, la solution de détection open source de référence : surveillance des fichiers, des accès et des comportements anormaux, avec des alertes calibrées sur votre installation, pas sur un modèle générique.
Les alertes sont reçues, triées et traitées par l'agence : un signal la nuit ou le week-end ne reste pas dans une boîte mail jusqu'au lundi.
Mises à jour du cœur, des extensions et des dépendances, tenues à jour et testées avant d'être appliquées.
Parce que la faille préférée des attaquants a un clavier.
Une session courte, sans jargon, pour tout le monde : accueil, comptabilité, direction. Reconnaître, réagir, prévenir : les gestes qui évitent 90 % des ennuis.
Des e-mails factices envoyés à vos équipes, dans un cadre convenu avec la direction. On mesure, puis on forme, jamais pour punir.
Une demi-journée de crise pour de faux, minutée, rôles distribués. Le meilleur moyen de découvrir ce qui manque, sans que ça coûte quoi que ce soit.
Cybersécurité, communication de crise, IA : organisme de formation déclaré depuis 2006 et certifié Qualiopi, finançable par votre OPCO.
Ce qui vous sera demandé, un jour ou l'autre.
Notre dossier de gouvernance en neuf sections : le document que vous ouvrez quand l'assureur, un client ou un financeur pose ses questions.
Registre des traitements, mentions, consentements, cookies, durées de conservation, et la marche à suivre si vos données personnelles fuitent.
Le questionnaire de l'assureur rempli avec vous, les pièces rassemblées, et le dossier monté le jour où il faut déclarer.
Le jour où ça arrive
C'est ce que personne ne dit : une attaque n'est pas un incident technique, c'est un événement commercial. Le technicien répare le serveur, mais le serveur n'est que le premier des cinq problèmes qui vous tombent dessus le même matin.
Ils n'arrivent plus à vous joindre, à commander, à recevoir leurs documents. Ils appellent, et personne à l'accueil ne sait quoi leur répondre.
L'activité ralentit ou s'arrête, les encaissements avec elle. Les charges, elles, continuent de tomber.
Il réclame des pièces, un constat, des dates, des preuves. Sous quelques jours, et avec des documents que personne n'a préparés.
Les avis, la presse locale, les mails qui partent en spam, les partenaires qui s'inquiètent. Ça se répare bien plus lentement qu'un serveur.
Un prestataire cyber gère le premier problème. Une agence de communication gère les quatre autres. Nous avons les deux sous le même toit, on prend les cinq.
Remise en ligne et nettoyage, sortie de l'avertissement Google, reprise des accès et de la messagerie, rapport pour l'assureur et pour votre conseil, déclaration à la CNIL si vos données sont concernées, et les mots à dire à vos clients, à vos équipes et à la presse locale.
La gestion de crise → Formation communication de crise, 900 € HT
C'est en train d'arriver, là, maintenant ? Site inaccessible, écran rouge de Google, mails qui partent tout seuls : n'attendez pas un devis, appelez.
03 25 40 57 97Pourquoi on nous appelle
« On vient de se faire attaquer. »
C'est l'appel le plus fréquent, et il vient souvent d'une entreprise que nous ne connaissions pas encore. Nettoyage, remise en ligne, constat écrit, dossier pour l'assureur, déclaration s'il y a des données personnelles, et les mots à dire aux clients pendant ce temps.
« Mon assureur me pose des questions. »
Le questionnaire cyber arrive, et il suppose que quelqu'un, quelque part, a écrit comment l'entreprise fonctionne. C'est très exactement ce que contient le classeur cyber : on le construit avec vous, une fois, et vous répondez ensuite en quelques minutes.
« On aimerait juste savoir où on en est. »
Le meilleur des trois appels : celui qui arrive avant. Un diagnostic écrit, un plan hiérarchisé, et le droit de nous répondre « pas tout de suite » sur ce qui peut attendre.
Parce qu'un auditeur passe, produit un rapport et repart ; parce qu'un prestataire informatique tient vos postes mais pas votre présence en ligne. Nous, nous restons, et bien souvent, nous sommes déjà là.
Nous ne découvrons pas votre site le jour du problème : nous en connaissons la plateforme, les modules, l'historique. Pas de phase de découverte facturée, et une correction possible le jour même.
Les sites que nous hébergeons sont surveillés par Wazuh, sept jours sur sept, et les alertes sont traitées par des gens, pas archivées par un robot.
Labellisés ANSSI MonAideCyber et France Num : le diagnostic MonAideCyber est un parcours officiel, pensé pour les structures qui n'ont ni RSSI ni service informatique.
Déclaré depuis 2006, certifié Qualiopi, avec des indicateurs publics : 4,8/5 de satisfaction, 75 % de progression.
zeverif, notre vérificateur d'adresses ouvert à tous, et le classeur cyber, notre dossier de gouvernance en neuf sections. Quand l'outil n'existe pas, on le développe.
Vingt-deux articles sur notre blog cybersécurité, l'Indice Zetruc de la dette cyber, et le coût moyen d'une attaque sourcé plutôt qu'asséné.
Comment ça se passe, concrètement
Un état des lieux écrit et hiérarchisé : votre site, votre messagerie, vos accès, vos sauvegardes, vos données personnelles, vos prestataires. Sans jargon, et sans phase de découverte facturée quand nous connaissons déjà votre installation. Si vous préférez commencer par le parcours officiel, nous menons aussi le diagnostic MonAideCyber de l'ANSSI.
On corrige dans l'ordre de ce qui compte : MFA, messagerie, durcissement, sauvegardes, supervision. Phase par phase, chacune chiffrée avant d'être engagée. Jamais de refonte imposée : la sécurité n'est pas un prétexte à un chantier de 20 000 €.
La supervision Wazuh, les mises à jour, le classeur cyber tenu à jour, et quelqu'un qui décroche. Tacite reconduction. C'est ce que paient les dirigeants qui ne veulent plus se demander si tout va bien.
Les montants indiqués sont des points de départ, pas une grille : une entreprise de trois personnes et une PME de deux cents ne demandent pas le même travail. Dans tous les cas, un devis écrit avant d'agir, et aucune facture surprise.
L'outil qui reste
Ce n'est ni un audit ni un rapport : c'est le document que vous ouvrez le jour où quelqu'un vous demande quelque chose, l'assureur, un client, un financeur, un auditeur. Neuf sections, tenues à jour. Il vaut pour toutes les entreprises, avec ou sans boutique en ligne.
Le jour où votre assureur envoie son questionnaire cyber, vos réponses y sont déjà.
Par où commencer
C'est notre meilleure porte d'entrée, et la seule qui ne demande à personne d'admettre une faiblesse : une demi-journée où votre entreprise traverse une attaque pour de faux, minute par minute, chacun dans son rôle, du dirigeant à la personne qui décroche le téléphone.
La session
2 490 € HT
Une demi-journée suivie d'un déjeuner de débrief, de 5 à 15 participants, scénario minuté et rôles distribués, les cinq réflexes à retenir. Finançable par votre OPCO : nous sommes organisme de formation déclaré depuis 2006 et certifié Qualiopi.
Indicateurs publiés depuis 2006 : satisfaction 4,8/5, progression 75 %.
Et au quotidien : initiation des équipes, campagnes de phishing simulé, formation cybersécurité et communication de crise.
Protéger, c'est aussi l'endroit où vit votre site et la façon dont il est tenu : hébergement sécurisé, maintenance & surveillance, conformité RGPD et gestion de crise. Vue d'ensemble sur le pilier Protéger.
Les questions qu'on nous pose
Oui, et c'est même le cas le plus courant : nos interlocuteurs vont de l'entreprise d'une personne à la PME de 250 salariés, dans le commerce, l'industrie, les services, les professions libérales et l'associatif. Sans vendre en ligne, vous avez tout de même une messagerie par laquelle passent vos devis et vos factures, un fichier de clients, un site que vos prospects consultent, et un nom que quelqu'un peut usurper. C'est exactement ce que nous protégeons.
Non, et c'est important de le dire : nous protégeons votre présence en ligne et ce qui y transite, le site, la messagerie, les accès, les données personnelles, la réputation, et la boutique si vous en avez une. Les postes de travail, le réseau interne, le serveur de fichiers et l'ERP relèvent de votre prestataire informatique. Nous vous dirons quand un sujet n'est pas le nôtre.
Le diagnostic démarre à 980 € HT et l'abonnement à 490 € HT/mois ; la mise en conformité se chiffre par phases, chacune validée avant d'être engagée. Une session de simulation de cyberattaque est à 2 490 € HT, finançable par votre OPCO. Pas de grille figée au-delà : une entreprise de trois personnes et une PME de deux cents ne demandent pas le même travail. Ce qui ne change jamais : un devis écrit avant d'agir, et aucune facture surprise.
C'est le parcours de diagnostic de l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, conçu pour les structures qui n'ont ni RSSI ni service informatique. Nous sommes labellisés pour le mener. C'est une bonne première marche, sans engagement commercial derrière.
Non, c'est même la situation normale, et notre travail consiste précisément à traduire. Wazuh, c'est une sentinelle qui surveille votre site et prévient quand quelque chose bouge anormalement. La MFA, c'est le code reçu sur votre téléphone en plus du mot de passe : la mesure la plus efficace et la moins chère qui existe. Le pentest, c'est une attaque amicale, autorisée par écrit, pour trouver les portes avant les autres.
Jamais de refonte imposée. On sécurise l'existant, quelle que soit la plateforme : PrestaShop, WordPress, WooCommerce. Conditionner la sécurité à un chantier de 20 000 € serait commode pour nous ; ce n'est pas notre façon de travailler.
Jamais. Aucune histoire de compromission n'est racontée ici avec un nom, ni même avec assez de détails pour qu'on devine de qui il s'agit, vous ne trouverez aucun cas client sur cette page, et ce n'est pas un oubli. Votre incident ne deviendra jamais notre étude de cas.
Non, ça fait complémentaire, et c'est justement l'angle mort que rencontrent la plupart des dirigeants : le site, la messagerie et les données clients sont les seuls actifs dont personne ne se sent vraiment responsable. Votre informaticien tient vos postes et votre réseau ; nous tenons ce qui vous fait connaître et ce qui vous fait vendre. Le classeur cyber sert d'ailleurs aux deux.
Votre question n'y est pas ? C'est souvent le signe qu'elle mérite un vrai échange.
Poser ma questionOn discute ?
Dites-nous simplement ce qui vous inquiète, ou ce que vous ne savez pas. On regarde, et on vous répond par écrit : ce qu'on ferait, dans quel ordre, à quel prix. Et si tout va bien chez vous, on vous le dira aussi.
Agence de Troyes, 69 rue de Gournay · Agence de Reims, 138 rue Léon Faucher à Bétheny