Amélie Verdier vient de sortir la phrase magique : « toutes les plateformes agréées ont fait l’objet d’un audit de sécurité ». Très bien. J’ai 20 ans de tech. J’ai vu des audits de sécurité. La majorité de ceux réalisés par les SSII françaises, ce n’est pas de la sécurité. C’est un théâtre. Des mecs payés 2 000 balles la journée qui balancent un rapport de 80 pages bourré de findings « medium » sur des headers HTTP manquants, pendant que les vraies portes ouvertes restent grandes ouvertes. Un vrai audit, ce n’est pas un PowerPoint validé par un comité. C’est du bug bounty. Des gens qui ne portent pas de costume, qui ne facturent pas à la journée, et qui passent leur vie à casser des systèmes pour de vrai. Pas des consultants qui ont lu le même guide ANSSI que tout le monde. Quand on vous dit « on a été audité », dans 90 % des cas ça veut juste dire : on a acheté un papier qui nous permet de dormir tranquilles et de communiquer sereinement. Le risque zéro n’existe pas, c’est vrai. Le risque « on a fait semblant » existe, lui, et il est extrêmement répandu. On verra bien.