« Avez-vous la double authentification ? » Si vous hésitez avant de cocher, cette page est pour vous.
Votre assureur et vos clients vous demandent de prouver votre cybersécurité. On vérifie à votre place, sans accès à vos serveurs, et on vous remet un dossier daté que vous pouvez envoyer. En français, sans consultant, sans engagement.
Le jour où le questionnaire arrive
Votre assureur renouvelle votre contrat et vous envoie son questionnaire. Ou c'est votre plus gros client, qui « met à jour sa politique fournisseurs » et vous demande de remplir une évaluation de sécurité.
Des dizaines de questions. Presque toutes appellent un oui ou un non. Et au milieu, celle-ci : « Avez-vous mis en place la double authentification ? »
Oui… sur certains comptes, sûrement. Votre prestataire l'a activée il y a deux ans. Sur tous les comptes ? Y compris celui du commercial arrivé en mars ? Y compris la boîte partagée de la comptabilité ?
Vous ne savez pas. Personne ne vous a donné les moyens de savoir. Alors vous faites comme tout le monde : vous cochez « oui », et vous signez.
La signature à l'aveugle
C'est ainsi que la plupart des dirigeants de PME attestent leur cybersécurité : à l'aveugle. Ce n'est pas votre faute. Ces questionnaires et ces référentiels ont été écrits pour des entreprises qui ont un directeur informatique et un responsable sécurité. La CPME l'a dit devant l'Assemblée nationale :
« […] elles s'adressent essentiellement à des directeurs des services informatiques (DSI) et des RSSI. »Marc Bothorel, référent cybersécurité de la CPME, à propos des règles techniques de l'ANSSI. Audition à l'Assemblée nationale, 5 juin 2025.
Le problème, c'est ce qui se passe après la signature. Si un jour il y a un incident et que ce que vous avez coché n'était pas vrai, c'est à vous qu'on le reprochera, pas à celui qui vous a envoyé le formulaire. Votre client peut chercher un fournisseur « plus sûr ». Votre assureur peut contester le sinistre.
- 80 % des TPE-PME ne sont pas préparées à une cyberattaque ou ne savent pas si elles le sont. (Baromètre Cybermalveillance.gouv.fr, OpinionWay, 2025)
- Seules 26 % ont mis en place la double authentification. (Même baromètre)
- Les TPE, PME et ETI restent la première catégorie de victimes de rançongiciels. (ANSSI, Panorama de la cybermenace 2025)
- Le taux de prime cyber des petites entreprises a augmenté de 51 % en un an. (AMRAE, LUCY 2026)
Et même vrai, ce que vous signez se périme
La sécurité d'une entreprise bouge sans prévenir. Un certificat expire. Un nouveau salarié arrive sans double authentification. Un accès est ouvert « juste pour un dépannage » et reste ouvert. Un réglage de messagerie saute lors d'un changement de prestataire.
Le dossier que vous avez rempli en janvier n'est plus vrai en avril, et vous ne le savez pas.
Pourquoi les solutions habituelles n'y arrivent pas
- Attendre que la loi soit votée : votre assureur et vos clients, eux, n'attendent pas.
- Cocher « au mieux » : c'est une déclaration, signée par vous, que personne n'a vérifiée.
- Les quiz et diagnostics gratuits : utiles pour prendre conscience, mais ils vous demandent de répondre vous-même. Ce qui en sort reste une déclaration.
- Le consultant : compétent, mais un diagnostic sérieux coûte souvent plusieurs milliers d'euros et décrit votre entreprise à une date donnée.
- Les plateformes de conformité : pensées pour des entreprises qui ont un responsable sécurité, souvent en anglais et facturées à l'année au prix d'un salaire.
Au lieu de vous demander, on vérifie
C'est le Dossier Vérifié. Il tient en trois temps, sans rien installer chez vous.
Du dehors
On regarde votre entreprise comme le font votre assureur et un attaquant : votre nom de domaine, les réglages qui empêchent qu'on envoie des emails en votre nom, vos certificats, ce qui est exposé sur Internet.
Du dedans, compte par compteBientôt
Avec votre accord et en lecture seule, on lit la configuration de votre Microsoft 365 ou de votre Google Workspace. Pas « la double authentification est activée » : qui l'a, qui ne l'a pas, et qui est arrivé depuis le mois dernier.
Daté, et tenu à jourBientôt
Chaque preuve porte sa date : vérifiée par nous, ou déclarée par vous. On revérifie chaque mois et on vous prévient quand quelque chose change. Vous envoyez le même dossier à votre assureur, à vos clients ou à un auditeur.
Par où commencer : trois mesures d'abord
Vous n'avez pas besoin de tout faire d'un coup. Votre dossier commence par ce qui protège vraiment et que votre assureur regarde : la double authentification sur chaque compte, les droits d'accès, et des sauvegardes qui fonctionnent.
Jean-Sylvain Chavanne, ancien de l'ANSSI, le disait sur franceinfo à propos de mesures comme la double authentification et la gestion des droits d'accès : « Cela permet de contrer 80 voire 90 % des cyberattaques ». Votre rapport vous dit, en clair, ce qu'il faut faire lundi matin.
« Ce n'est pas possible »
Somagic, une entreprise d'une cinquantaine de salariés en Bourgogne, a été victime d'une cyberattaque. Un de ses salariés a raconté à franceinfo ce que pensaient beaucoup d'entre eux avant :
« On ne peut pas croire qu'une petite PME va être impactée. Des grands groupes, oui, mais on a l'impression que c'est seulement dans les films qu'on voit ça. Et pas dans une entreprise de 50 personnes. Ce n'est pas possible. »Sébastien Moreau, Somagic, franceinfo, 19 février 2026. Sans lien avec Fusion AI.
Ce que vous recevez
| Ce que ça fait pour vous | |
|---|---|
| Scan « ce que voit votre assureur » | Protection de votre messagerie contre l'usurpation (SPF, DKIM, DMARC), certificats, services exposés sur Internet. Disponible aujourd'hui, gratuitement. |
| Vérification compte par compte | Qui a la double authentification et qui ne l'a pas, dans Microsoft 365 ou Google Workspace. Bientôt. |
| Dossier de preuves | Un PDF daté pour votre assureur, un client ou un auditeur : chaque affirmation appuyée par une vérification. Bientôt. |
| Contrôle mensuel | On revérifie chaque mois et on vous écrit si un compte perd sa double authentification ou si un nouveau compte arrive sans. Bientôt. |
| Les trois priorités | Ce qu'il faut corriger d'abord, expliqué sans jargon, avec l'étape suivante. |
| La loi, telle qu'elle est | Où en est vraiment NIS2, ce qui vous concerne et ce qui ne vous concerne pas. Sans dramatiser. |
Où en est vraiment NIS2
- La loi qui transpose la directive NIS2 en France doit être examinée à l'Assemblée nationale à partir du 7 octobre 2026. Elle n'est pas encore en vigueur.
- Les entreprises de moins de 50 salariés sont rarement visées directement. Elles le seront surtout via leurs clients, qui devront contrôler la sécurité de leurs fournisseurs.
- Vos clients et votre assureur n'attendent pas la loi pour vous demander des preuves.
- Nous suivons le texte réel et le référentiel de l'ANSSI au fur et à mesure de leur publication, sans fausses échéances.
Ce que nous lisons, et ce que nous ne lisons jamais
- Nous lisons : la liste des comptes de votre Microsoft 365 ou Google Workspace, et si chacun a la double authentification. En lecture seule.
- Nous lisons : les informations publiques de votre nom de domaine, les mêmes que n'importe quel visiteur.
- Nous ne lisons jamais : vos emails, vos fichiers, vos logiciels métiers ni les données de vos clients.
- Rien à installer sur vos ordinateurs. Vous pouvez nous retirer l'accès à tout moment depuis votre console d'administration.
Tarifs
Des prix affichés, sans engagement, sans frais de mise en place.
Essentiel
- 1 nom de domaine
- Microsoft 365 ou Google Workspace
- Contrôle mensuel
- Dossier de preuves daté
Pro
- 3 noms de domaine
- Microsoft 365 et Google Workspace
- Jusqu'à 150 comptes vérifiés
- Support par email
Accès anticipé : rien à payer aujourd'hui. Inscrivez-vous et nous vous écrivons quand votre accès est prêt.
Garantie : 30 jours satisfait ou remboursé. Et si votre client ou votre assureur juge le dossier insuffisant, on le complète avec vous sans frais.
Questions fréquentes
NIS2 n'est même pas votée. Pourquoi maintenant ?
Vous avez raison : la loi n'est pas encore en vigueur en France, et nous ne vous dirons pas le contraire. Mais votre assureur et vos clients posent déjà les questions. Le dossier sert d'abord à eux.
Mon prestataire informatique gère déjà tout.
Tant mieux. Notre regard est extérieur et indépendant, sans accès à vos serveurs, et le rapport sert aussi à votre prestataire pour savoir quoi corriger. Certaines attaques passent même par le prestataire lui-même.
On est trop petits pour intéresser des pirates.
C'est ce que pensaient beaucoup d'entreprises victimes. Les attaques sont souvent automatisées : elles visent ce qui est mal protégé, pas ce qui est gros.
Est-ce que ça nous rend conformes NIS2 ?
Non, et aucun outil ne peut vous le promettre. Il n'existe pas encore de certification de ce type. Nous vous donnons une image exacte de votre situation, des priorités et des preuves datées. Les décisions et la signature restent les vôtres.
Les outils de l'État sont gratuits, pourquoi payer ?
Utilisez-les : le diagnostic de l'ANSSI et les guides de Cybermalveillance.gouv.fr sont très bien faits. Ils vous donnent des mesures à prendre. Nous vérifions qu'elles sont en place, chaque mois, et nous en gardons la preuve.
Encore un scanner qui va sortir des fausses alertes ?
Le scan est non intrusif et ne regarde que ce qui est public. Chaque point est expliqué en français, avec ce qu'il veut dire pour vous et l'étape suivante.
Où sont mes données ?
Sur des serveurs situés au Royaume-Uni. Nous ne stockons ni vos emails, ni vos fichiers, ni les données de vos clients. Le détail est dans notre politique de confidentialité.
Faut-il s'engager à l'année ?
Non. L'abonnement est sans engagement, résiliable à tout moment, et les 30 premiers jours sont remboursés si le service ne vous convient pas.
Qui est derrière
Fusion AI est un produit de Fusion Security (FUSSEC Services LLC). Un humain lit chaque message : hello@fusion-security.com.
Signez en sachant que c'est vrai
Le Dossier Vérifié ouvre d'abord à un petit nombre d'entreprises. Laissez votre email, on vous prévient. En attendant, le scan de votre domaine est gratuit.
Votre email sert uniquement à vous prévenir de l'ouverture. Vous pouvez demander sa suppression à tout moment.