Vous connaissez la scène. Vous ouvrez votre ordinateur pour boucler une demande de financement qui part dans l’heure, et une fenêtre surgit : « Une mise à jour est disponible. Installer maintenant ou plus tard? » Vous cliquez sur « plus tard ». Le lendemain aussi. Et la semaine suivante encore.
C’est humain, et ça se comprend : le travail s’accumule, le temps manque, et personne n’a envie que la machine redémarre en plein rush. Le problème, c’est qu’à force de repousser, on laisse une porte ouverte bien plus longtemps qu’elle n’aurait dû l’être. Et dans le numérique, une porte ouverte finit toujours par être testée.
De quoi parle-t-on, au juste?
Quand on parle de mises à jour dans un organisme, on parle de tout ce qui est installé sur vos appareils : le système d’exploitation (Windows ou macOS), les navigateurs (Firefox, Chrome, Edge) et l’ensemble des logiciels que votre équipe utilise au quotidien, du traitement de texte au logiciel de montage vidéo de votre personne chargée de communication.
Bonne nouvelle : les outils en ligne, eux, se mettent à jour tout seuls. Votre plateforme d’infolettre, votre outil de billetterie, votre suite collaborative dans le nuage : chaque fois que vous ouvrez le service, vous avez déjà la dernière version. Ce qui demande de l’attention, c’est tout ce qui vit sur les ordinateurs eux-mêmes, y compris ce vieux poste à l’accueil que se partagent les bénévoles.
Toutes les mises à jour ne se valent pas
Il y a deux grandes familles, et les confondre entretient beaucoup d’inquiétudes inutiles.
Les mises à jour de sécurité (les « correctifs », ou patches) bouchent des failles. Elles ne changent rien à votre façon de travailler : ni nouveau bouton, ni nouvelle interface. Elles sont critiques et devraient s’appliquer le plus vite possible.
Les mises à jour fonctionnelles ajoutent des nouveautés ou modifient l’apparence d’un outil. Ce sont elles qui peuvent, parfois, déplacer vos repères. Elles sont beaucoup moins pressées.
Un truc simple pour vous repérer : la plupart des logiciels affichent leur version sous la forme de trois chiffres, par exemple 1.1.2. Le premier chiffre annonce un grand changement (par exemple le passage de Windows 10 à Windows 11), le deuxième des ajouts de fonctionnalités, et le troisième de simples correctifs. Passer de la 1.1.2 à la 1.1.3, vous pouvez le faire les yeux fermés : par convention, un correctif ne casse rien.
Pourquoi une mise à jour de sécurité, c’est urgent
Voici ce qu’on imagine mal. À la seconde où un éditeur publie un correctif de sécurité, il annonce en même temps, sans le vouloir, que la faille existe. Les personnes malveillantes qui l’ignoraient la connaissent désormais, et elles savent que tous les appareils pas encore mis à jour sont vulnérables.
À partir de là, ce n’est plus une question d’être visé personnellement. Des robots tournent en permanence sur internet et vont, littéralement, frapper à toutes les portes pour voir lesquelles s’ouvrent. Votre organisme n’a pas besoin d’intéresser qui que ce soit pour être touché : il suffit qu’une porte soit restée ouverte au moment où le robot passe.
C’est pour ça que le faux sentiment de sécurité « on est trop petit pour être une cible » mérite d’être déconstruit. Un centre communautaire de trois personnes, une troupe de théâtre, une petite maison d’édition : personne n’est trop modeste pour un robot qui ratisse le web au hasard. Imaginez un matin d’octobre : à trois jours de votre assemblée générale, votre base de membres, vos reçus de dons et votre liste de contacts de bénévoles sont soudain verrouillés par un rançongiciel (ransomware), avec une demande de rançon à la clé. Vous n’étiez pas une cible choisie, vous étiez une victime de passage. Autre scénario, plus discret : votre poste sert à envoyer du pourriel à votre insu, et c’est l’adresse de courriel de votre organisme qui se retrouve bloquée par les fournisseurs, en pleine campagne de sollicitation.
Deux exemples qui ont marqué
Ce ne sont pas des scénarios théoriques. En 2017, le rançongiciel WannaCry a paralysé des centaines d’hôpitaux, notamment au Royaume-Uni : dossiers patients bloqués, du jour au lendemain. Le correctif existait depuis deux mois. Les ordinateurs n’avaient pas été mis à jour.
La même année, la fuite Equifax a exposé les données confidentielles de près de 150 millions de personnes. Là encore, la faille avait été corrigée deux mois plus tôt, et le correctif n’avait pas été appliqué.
C’est le constat qui revient sans cesse : la grande majorité des attaques n’exploitent pas des failles mystérieuses et inédites, mais des failles déjà connues, pour lesquelles un correctif existait déjà. La mise à jour non faite est l’une des plus grosses portes d’entrée.
« Mais les mises à jour cassent des choses au pire moment »
Cette crainte est réelle, et elle est légitime. La réponse tient dans la distinction du début : ce sont les mises à jour fonctionnelles qui peuvent bousculer vos habitudes, très rarement les correctifs de sécurité. Vous pouvez donc appliquer les seconds sans crainte, tout de suite, et choisir votre moment pour les premières.
Et si vraiment vous devez repousser une mise à jour parce que la demande de subvention part dans l’heure? Faites-le, mais en pleine connaissance de cause, et surtout pas trois fois de suite pour le même outil. L’exception d’un jour ne doit pas devenir la règle du trimestre. Personne n’est parfaitement à jour en permanence : il paraît des correctifs tous les jours, et l’objectif n’est pas la perfection, mais de faire de son mieux, régulièrement, sans laisser traîner.
Windows 10, ou quand le fournisseur décide pour vous
Un cas résume bien l’enjeu. Depuis octobre 2025, Windows 10 n’est plus maintenu : plus aucun correctif de sécurité. Les failles qui seront découvertes (et il y en aura) resteront ouvertes. Pour rester dans un cadre professionnel raisonnablement sûr, il faut passer à Windows 11. Sauf que beaucoup d’ordinateurs encore parfaitement fonctionnels ne sont pas compatibles, et qu’un OSBL n’a pas toujours le budget pour renouveler son parc. C’est exactement le genre de situation où l’on se retrouve : le portable donné il y a cinq ans par un membre du conseil d’administration marche très bien, mais n’accepte pas Windows 11.
C’est toute la dépendance aux outils propriétaires : c’est le fournisseur qui décide de la date de péremption, pas vous. On retrouve la même logique côté téléphone, quand une mise à jour impose un nouveau style ou déplace des boutons sur un appareil qui fonctionnait très bien.
Le logiciel libre offre ici une marge de manœuvre intéressante : il est porté par une communauté plutôt que par un propriétaire unique, propose souvent des versions à support prolongé (LTS, pour long term support) maintenues plusieurs années, et laisse même la possibilité, à terme, de faire maintenir sa propre version, individuellement ou en vous regroupant à plusieurs organismes pour partager les coûts. Passer entièrement au libre n’est pas toujours réaliste du jour au lendemain, mais c’est une piste qui vaut la réflexion, surtout au moment de remplacer un outil.
Au passage, cela vaut aussi pour les versions non officielles ou piratées de logiciels, qu’on croise plus souvent qu’on ne le pense dans les petites structures : la suite de design installée sans licence sur l’ordinateur partagé, par exemple. L’économie réalisée est réelle, mais elle se paie en failles, puisque ces versions ne reçoivent pas les correctifs. Là encore, une alternative libre et gratuite est souvent la meilleure sortie.
N’oubliez pas votre site web
C’est l’angle mort le plus fréquent. Les gestionnaires de contenu comme WordPress (ou Joomla) sont parmi les surfaces les plus attaquées du web, et vous en dépendez plus que vous ne le croyez : c’est là que vivent votre page de dons, votre billetterie de spectacle, votre formulaire d’adhésion en ligne. Un site dont les extensions ne sont mises à jour que lorsqu’un prestataire s’y connecte « tous les six mois » reste vulnérable tout le reste du temps.
Assurez-vous que l’entreprise qui gère votre site applique les correctifs de sécurité automatiquement et régulièrement. C’est précisément à ça que sert un contrat d’entretien aujourd’hui : pas seulement à faire de belles pages, mais à garder les portes fermées.
Une image pour s’en souvenir
Une mise à jour, au fond, c’est de l’entretien. Comme tailler un arbre : personne n’en parle, ça ne se voit pas, ça semble facultatif. Puis la première tempête arrive, et c’est l’arbre qu’on n’a pas entretenu qui tombe.
Par où commencer, concrètement
Si vous ne deviez retenir qu’une habitude, ce serait celle-ci : activez les mises à jour automatiques, ou vérifiez qu’elles le sont, sur votre système d’exploitation et votre navigateur. Ce sont les deux points par lesquels tout passe. Et ne reportez jamais un correctif quand il est proposé.
Trois gestes complètent utilement ce réflexe :
- confiez le suivi des mises à jour à une personne clairement désignée dans l’organisme, comme pour tout sujet de sécurité : ce qui n’est à personne finit par n’être fait par personne. Dans une petite équipe, ce sera souvent la coordination ou la personne à la communication.
- dressez la liste des outils arrivés en fin de support (Windows 10, mais aussi, par exemple, Adobe XD, abandonné par son éditeur) pour planifier tranquillement leur remplacement plutôt que dans l’urgence.
- vérifiez auprès de votre prestataire web que votre site est bien mis à jour automatiquement.
Faire ses mises à jour protège votre organisme, mais aucune protection n’est parfaite. La question à garder en tête reste : que se passe-t-il si, malgré tout, je perds l’accès à mes documents du jour au lendemain? C’est là qu’intervient la sauvegarde, dont nous parlerons dans un prochain article.
En attendant, si vous voulez faire le point sur les pratiques de votre organisme, une rencontre gratuite de trente minutes avec nous suffit pour y voir clair.
