Mises à jour de sécurité : pourquoi les installer et quand le faire

Qu'est-ce qu'une mise à jour de sécurité ?

Un logiciel, c'est des millions de lignes écrites par des humains : il contient des erreurs. Certaines de ces erreurs ouvrent une porte — on parle de faille de sécurité, ou vulnérabilité. Une mise à jour de sécurité, parfois appelée correctif ou patch, est le morceau de code qui referme cette porte.

Une mise à jour ne se confond pas avec une nouvelle version qui change l'apparence ou ajoute des fonctions. Les deux arrivent souvent ensemble, ce qui explique la mauvaise réputation de l'exercice : on se souvient du menu déplacé, pas de la faille refermée.

À retenir

• Une mise à jour de sécurité referme une porte déjà repérée par les attaquants.
• La faille devient publique le jour du correctif : le délai compte.
• Mettez à jour aussi le téléphone, la box, l'imprimante et le logiciel métier.
• Activez l'installation automatique partout où elle existe.
• Une mise à jour ne s'installe jamais depuis une fenêtre surgissante.
• Un appareil sans mise à jour disponible doit être remplacé ou isolé.

Pourquoi faut-il les installer vite ?

Contre-intuitif, mais décisif : publier un correctif rend la faille publique. L'éditeur décrit ce qu'il corrige, et cette description indique à qui sait la lire où se trouvait la porte et comment l'ouvrir. À partir de cet instant, deux courses démarrent en même temps : la vôtre, pour installer, et celle des attaquants, pour exploiter les machines pas encore corrigées.

D'où une idée fausse à écarter : « je suis trop petit pour intéresser quelqu'un ». Ces attaques ne choisissent pas leurs victimes. Des programmes parcourent Internet en continu, essaient la faille sur tout ce qui répond, et s'installent là où ça fonctionne. Un cabinet de trois personnes, une mairie de village et une entreprise du CAC 40 sont exactement aussi visibles pour un programme automatique.

Que faut-il mettre à jour ?

L'ordinateur vient à l'esprit. Le reste s'oublie, et c'est souvent le reste qui sert de porte d'entrée.

• Le système de vos ordinateurs, de vos téléphones et de vos tablettes, professionnels comme personnels dès qu'ils accèdent au travail.
• Le navigateur et ses extensions. Une extension abandonnée par son auteur, voire revendue, est une porte ouverte sur tout ce que vous consultez.
• Les logiciels du quotidien : suite bureautique, lecteur de documents, outil de visioconférence, messagerie.
• Le logiciel métier : gestion, comptabilité, caisse, dossier patient, planning. Ces mises à jour arrivent souvent par l'éditeur et demandent parfois une intervention.
• La box et le routeur. Rarement mis à jour, souvent exposés en permanence.
• Les objets connectés du bureau : imprimante réseau, serveur de stockage, caméra, badgeuse, sonde, télésurveillance. Ils ont un système, donc des failles.
• Votre site web et ses greffons, s'il repose sur un outil de publication que vous administrez.

Les correctifs se prennent uniquement à la source : la fonction de mise à jour intégrée à l'appareil ou au logiciel, la boutique d'applications officielle, ou le site officiel de l'éditeur. Jamais un lien reçu par message.

Quand les installer sans arrêter son travail ?

L'obstacle réel n'est pas la sécurité, c'est le redémarrage au mauvais moment. Il se contourne.

1. Activez l'installation automatique pour le système, le navigateur et les téléphones. C'est le réglage qui fait le plus de travail à votre place.
2. Choisissez la fenêtre horaire. La plupart des systèmes laissent fixer les heures pendant lesquelles ils n'interrompront rien : consultations, service, comptoir, classe.
3. Réservez un créneau court et régulier pour ce qui ne s'automatise pas — logiciel métier, box, imprimante, stockage réseau. Une demi-heure par mois, un jour fixe, une personne nommée.
4. Traitez à part les correctifs qualifiés d'urgents par l'éditeur ou signalés par les autorités : ceux-là s'installent dans la journée, quitte à décaler autre chose.
5. Redémarrez réellement. Beaucoup de correctifs ne s'appliquent qu'au redémarrage. Un ordinateur mis en veille tous les soirs pendant six mois n'a rien installé.

Une précaution pour les outils qui font tourner l'activité : sauvegardez avant une mise à jour majeure du logiciel métier, et évitez d'y toucher la veille d'une échéance. Une mise à jour peut casser une intégration — ce qui est un argument pour la programmer, pas pour l'éviter. La démarche est décrite dans notre guide Sauvegarder ses données professionnelles : quoi, où et à quelle fréquence.

Comment reconnaître une fausse mise à jour ?

C'est un piège classique : une fenêtre surgit pendant votre navigation, annonce que votre lecteur vidéo ou votre navigateur est obsolète, et propose un fichier à télécharger. Le fichier installe un programme malveillant.

Trois repères suffisent :

• Une vraie mise à jour ne s'annonce pas depuis une page web. Elle apparaît dans les réglages du système ou du logiciel, pas au milieu d'un article.
• L'urgence et la peur sont des signaux de fraude, pas des signaux techniques. Un éditeur n'écrit pas « votre appareil est infecté, cliquez immédiatement ».
• En cas de doute, fermez tout et allez vérifier vous-même dans les réglages de l'appareil. Si une mise à jour existe vraiment, vous la trouverez là.

Le même réflexe vaut pour les messages annonçant une mise à jour à installer d'urgence : on ne clique pas, on vérifie à la source. Ces mécanismes sont travaillés en situation dans la formation Phishing : simulateur, fraude au virement et deepfakes.

Et quand l'appareil ne reçoit plus de mise à jour ?

Tout matériel et tout logiciel a une fin de support : une date au-delà de laquelle l'éditeur ne corrige plus rien. L'appareil continue de fonctionner, ce qui rend la situation trompeuse. Il ne devient pas défectueux : il devient définitivement vulnérable, et chaque faille découverte ensuite restera ouverte.

Trois issues, dans cet ordre de préférence :

1. Remplacer ou migrer vers une version encore suivie. C'est la seule réponse complète.
2. Isoler, si l'appareil est indispensable et non remplaçable à court terme : le sortir d'Internet, le placer sur un réseau séparé, restreindre ce qu'il peut atteindre. C'est une mesure d'attente, pas une solution.
3. Documenter la décision : quel appareil, quelle échéance, quel budget, quelle date de remplacement. Écrit, le sujet revient à l'ordre du jour ; oral, il disparaît.

Vérifiez une fois par an les dates de fin de support de vos systèmes, de vos téléphones et de vos équipements réseau. C'est une ligne de budget prévisible, ce qui vaut mieux qu'un remplacement en urgence après incident.

Qui s'en occupe, quand il n'y a pas d'informaticien ?

Dans une petite structure, une tâche sans nom n'est faite par personne. Quelques lignes écrites suffisent : qui vérifie les mises à jour, quel jour, sur quels appareils, et qui appeler quand quelque chose casse. Cette liste vaut aussi inventaire — on y découvre souvent un serveur de stockage ou une imprimante que plus personne ne suivait.

Quand un prestataire gère votre informatique, la question à lui poser par écrit est simple : quels équipements mettez-vous à jour, à quelle fréquence, et comment me le montrez-vous ? Un contrat d'infogérance ne couvre pas toujours la box, les téléphones ou le logiciel métier.

Ce que cela change selon votre métier

• En santé, les logiciels de dossier patient et les équipements connectés au réseau se mettent à jour avec l'éditeur, dans une fenêtre annoncée. Pour une secrétaire médicale, le bon réflexe est de connaître cette fenêtre et d'y adosser une sauvegarde, plutôt que de repousser indéfiniment.
• En mairie, les postes des agents, les équipements réseau et les logiciels de l'état civil relèvent souvent d'un syndicat informatique ou d'un prestataire. Une secrétaire de mairie a intérêt à disposer par écrit du périmètre couvert, car les appareils achetés hors marché n'y figurent presque jamais.
• Sur les chantiers et en atelier, le téléphone est l'outil principal et le plus oublié. Pour un artisan, activer les mises à jour automatiques du téléphone est le geste le plus rentable de la liste.
• En très petite entreprise, la question se pose au moment de l'achat : un dirigeant de TPE gagne à choisir un matériel dont la durée de suivi est annoncée, plutôt que le moins cher au moment de la facture.

Par où commencer

Prenez dix minutes aujourd'hui : activez les mises à jour automatiques sur votre ordinateur et sur votre téléphone, puis redémarrez-les. Prenez ensuite trente minutes cette semaine pour lister les appareils que personne ne met à jour — box, imprimante, stockage réseau, logiciel métier — et fixez le jour du mois où quelqu'un s'en occupera.

Les autres gestes qui referment le plus de portes, mots de passe uniques, second facteur et sauvegardes déconnectées, sont repris avec des cas de votre métier dans la formation Cybersécurité : les fondamentaux pour protéger son métier.