Votre ordinateur vous demande de redémarrer pour installer une mise à jour. Vous cliquez sur « Plus tard », puis encore « Plus tard ». Pendant ce temps, la faille que ce correctif devait combler reste ouverte. C’est exactement ce scénario que les mises à jour automatiques cherchent à éliminer.
Le Cyber Resilience Act impose les mises à jour automatiques par défaut
Depuis le 10 décembre 2024, le Cyber Resilience Act (règlement (UE) 2024/2847) change la donne pour tous les produits numériques vendus dans l’Union européenne. Ce texte ne se contente pas de recommandations. Il fixe des obligations concrètes aux fabricants de logiciels, systèmes d’exploitation et objets connectés.
L’Annexe I du CRA précise que les produits doivent être livrés sans vulnérabilités exploitées connues, avec une configuration sécurisée par défaut. Les mises à jour de sécurité doivent être automatiques et activées par défaut, avec une simple possibilité de désactivation pour l’utilisateur.
Le fabricant doit aussi assurer un support d’au moins cinq ans, pendant lequel il publie des correctifs pour chaque vulnérabilité découverte. Autrement dit, un éditeur qui cesse de patcher son logiciel avant ce délai enfreint la réglementation européenne.
Vous avez déjà remarqué qu’un appareil connecté acheté il y a trois ans ne reçoit plus de mises à jour ? Avec le CRA, ce type de situation devient illégal sur le marché européen. Le règlement place la responsabilité sur le fabricant, pas sur l’utilisateur.
Failles de sécurité et correctifs : le facteur temps
Une vulnérabilité logicielle, c’est un défaut dans le code qui permet à un attaquant de s’introduire dans un système. Un correctif (ou patch) est la portion de code qui referme cette brèche. Entre la découverte d’une faille et la publication du correctif, il existe un délai. C’est pendant cette fenêtre que le risque est maximal.
Le problème ne s’arrête pas à la publication du patch. Un correctif non installé ne protège personne. Quand un éditeur publie un correctif, il révèle aussi, indirectement, la nature de la faille corrigée. Les attaquants le savent et ciblent en priorité les systèmes qui n’ont pas encore appliqué le patch.
C’est là que le mode automatique fait la différence. Au lieu d’attendre que l’utilisateur lance manuellement la procédure, le système télécharge et installe le correctif dès qu’il est disponible. Le délai entre la publication et l’application passe de plusieurs jours (voire semaines) à quelques heures.
Applications, systèmes d’exploitation, objets connectés : tout est concerné
Les mises à jour ne touchent pas uniquement Windows ou macOS. Chaque couche logicielle possède ses propres vulnérabilités :
- Les systèmes d’exploitation (Windows, macOS, Linux, Android, iOS) reçoivent des correctifs mensuels ou plus fréquents selon la criticité des failles détectées.
- Les applications web et bureautiques (navigateurs, suites de productivité, lecteurs PDF) sont des cibles fréquentes car elles traitent des fichiers et des données provenant de sources externes.
- Les appareils connectés (routeurs, caméras, imprimantes réseau) exécutent un firmware souvent oublié dans les routines de mise à jour, alors qu’ils restent allumés en permanence et accessibles sur le réseau.
Un seul équipement non mis à jour sur un réseau suffit à offrir un point d’entrée. La protection fonctionne comme une chaîne : chaque maillon non patché fragilise l’ensemble.
Mises à jour automatiques : les limites à connaître
Activer les mises à jour automatiques ne dispense pas de toute vigilance. Plusieurs situations méritent votre attention.
Tous les logiciels ne gèrent pas leurs mises à jour de la même façon. Certaines applications tierces n’intègrent pas de mécanisme automatique. Vous devez alors vérifier manuellement, ou utiliser un gestionnaire de patchs qui centralise le suivi.
Un redémarrage est souvent nécessaire pour finaliser l’installation d’un correctif système. Si vous repoussez ce redémarrage pendant des jours, la mise à jour reste en attente et la faille demeure ouverte. Le téléchargement seul ne suffit pas.
Pour les environnements professionnels, appliquer un correctif sans test préalable sur un serveur de production peut provoquer des incompatibilités. Les équipes informatiques planifient donc des fenêtres de déploiement, en testant d’abord le patch sur un environnement isolé. C’est un compromis entre rapidité et stabilité.
Sauvegarde avant mise à jour majeure
Pourquoi insister sur ce point ? Parce qu’une mise à jour majeure (un upgrade de version, pas un simple correctif) modifie parfois le comportement de certaines fonctionnalités. Une sauvegarde complète avant un upgrade permet de revenir en arrière si un problème survient. Pour les correctifs de sécurité courants, le risque de régression est faible, mais la prudence reste de mise sur les mises à jour qui changent de version.
Configurer les mises à jour automatiques sur vos appareils
Activer ce réglage prend quelques minutes et ne demande aucune compétence technique. Voici les points de vérification à contrôler sur chaque appareil :
- Sur Windows, la section « Windows Update » dans les paramètres système permet d’activer les mises à jour automatiques et de programmer les redémarrages en dehors des heures de travail.
- Sur macOS et iOS, l’option « Mises à jour automatiques » dans les réglages système couvre à la fois le système d’exploitation et les applications téléchargées via l’App Store.
- Sur Android, le Play Store propose un réglage pour mettre à jour les applications automatiquement en Wi-Fi, tandis que les correctifs système dépendent du fabricant de l’appareil.
- Les navigateurs web (Chrome, Firefox, Edge) se mettent à jour automatiquement par défaut, à condition de les redémarrer régulièrement.
Un réflexe simple : redémarrez vos appareils au moins une fois par semaine. Ce geste force l’application des correctifs en attente et réduit la fenêtre d’exposition aux vulnérabilités connues.
Téléchargez toujours vos mises à jour depuis les canaux officiels de l’éditeur. Un correctif proposé par un site tiers ou un lien reçu par e-mail peut être un logiciel malveillant déguisé. Le mode automatique règle aussi ce problème, puisque le système se connecte directement aux serveurs de l’éditeur.
Le Cyber Resilience Act transforme les mises à jour automatiques d’une bonne pratique en obligation légale pour les fabricants. Côté utilisateur, le geste le plus efficace reste le plus simple : laisser les correctifs s’installer et accepter le redémarrage quand il se présente. Chaque jour de retard est un jour de plus où une faille connue reste exploitable sur votre appareil.
