Extranet et portail client sécurisé : agences du Grand Est
Pour le développement d'un extranet ou d'un portail client sécurisé dans le Grand Est, une agence web comme Studio Bestio à Nancy ou Adeliom à Strasbourg annonce ce type de projet, et des indépendants aussi. La localisation compte moins que la réponse à une question : comment le prestataire garantit qu'un client ne verra jamais les données d'un autre ? Je développe moi-même des portails clients depuis Metz, donc je ne suis pas neutre ; voici les prestataires repérés, puis la grille pour les comparer.
Agences web et prestataires d'extranet à Nancy, Metz et dans le Grand Est
Je n'ai pas trouvé de comparatif indépendant de la sécurité des extranets produits par les agences de la région. Ce que je peux vous donner, c'est ce que chacune annonce publiquement. Studio Bestio, à Nancy, cite les extranets et espaces clients sécurisés dans son offre. Adeliom, à Strasbourg, est présentée par l'annuaire La Fabrique du Net comme une équipe d'environ 40 personnes qui réalise des applications e-commerce et extranet sur mesure. AdevWeb, à Metz, ne parle pas d'extranet sur sa page, mais mentionne intranets et applications métier.
Ces mentions ne prouvent ni la compétence ni son absence. Elles vous donnent une liste de départ, à compléter avec les annuaires d'agences du Grand Est, dont les fiches restent à recouper directement auprès des sociétés. Le tri sérieux commence ensuite, avec les questions qui suivent.
Ce qui rend un portail client vraiment sécurisé
Un cadenas dans la barre d'adresse et une page de connexion ne suffisent pas. Le référentiel de l'OWASP, une fondation de référence sur la sécurité des applications, classe le contrôle d'accès défaillant au premier rang de son Top 10 2025, et les défaillances d'authentification au septième. Traduit pour un dirigeant, le premier risque n'est pas un pirate qui devine un mot de passe. C'est un client connecté qui change un numéro dans l'adresse de sa facture et tombe sur celle d'un autre.
Ce défaut ne se voit pas dans une démonstration : tout paraît fonctionner. Il faut le tester délibérément. Un prestataire sérieux doit pouvoir vous expliquer comment chaque requête vérifie que la donnée demandée appartient bien à l'utilisateur connecté, et comment ce contrôle est couvert par des tests automatisés.
Six questions à poser à une agence web avant de signer
Voici la grille que je vous conseille de soumettre à tout prestataire, moi compris. Les réponses vagues sont en elles-mêmes une information.
| Question | Bonne réponse | Référence |
|---|---|---|
| Comment empêchez-vous un client d'accéder aux données d'un autre ? | Contrôle côté serveur à chaque requête, avec tests automatisés | OWASP Top 10:2025 |
| Comment les mots de passe sont-ils conservés ? | Empreinte salée, jamais en clair, ni MD5, ni SHA-1 | CNIL |
| La double authentification est-elle prévue ? | Oui, au moins pour les administrateurs, et par un autre moyen que le SMS si possible | Guide ANSSI, présenté par IT-Connect |
| Que se passe-t-il après plusieurs échecs de connexion ? | Temporisation ou blocage, et message d'erreur qui ne révèle pas si le compte existe | OWASP |
| Où sont hébergées les données, et qui peut y accéder ? | Localisation précise, liste des sous-traitants, contrat conforme à l'article 28 du RGPD | CNIL |
| Sous quel délai suis-je prévenu en cas d'incident ? | Un délai écrit au contrat, compatible avec les 72 heures laissées pour notifier la CNIL | CNIL |
La question du délai mérite un mot. Quand une violation présente un risque, c'est à vous, responsable du traitement, de la notifier à la CNIL au plus tard 72 heures après en avoir pris connaissance. Si votre prestataire met une semaine à vous prévenir ou ne sait pas ce qui a été consulté faute de journaux d'accès, vous partez avec un handicap que rien ne rattrape. La CNIL recommande d'ailleurs de vérifier les garanties annoncées, par exemple par des audits, et de regarder toute la chaîne de sous-traitance.
Le cas particulier des données sensibles
Un cabinet comptable, un avocat ou un professionnel de santé n'a pas le même niveau d'exigence qu'un fabricant qui partage des catalogues. Selon la CNIL, l'hébergeur de données de santé doit disposer de la certification HDS. Si votre portail contient ce type de données, dites-le dès le premier échange : cela change le choix de l'hébergeur et le budget, et aucune astuce technique ne le remplace.
Quand une agence ou un logiciel existant convient mieux
Si vous devez simplement partager quelques documents avec des clients, un outil du marché suffit probablement, et il sera en service en quelques jours. Le développement sur mesure se justifie quand le portail doit se connecter à vos logiciels, appliquer vos règles et s'intégrer dans vos processus. Si votre projet exige plusieurs spécialistes en parallèle et une astreinte continue, une agence comme celles citées plus haut sera mieux dimensionnée qu'un développeur seul.
Si vous cherchez à parler directement à la personne qui écrit le code, c'est ce que je propose : je construis des portails clients et extranets avec Symfony et API Platform, depuis Metz, avec une intervention à Nancy et Strasbourg. Pour un cabinet, la page portail client pour expert-comptable présente un cas concret d'usage. Envoyez-moi qui doit accéder à quoi : c'est le point de départ de tout devis sérieux, chez moi comme ailleurs.