Portail des marchés publics : 3 semaines de « suspension préventive », ou l’art de soigner la fièvre en débranchant le malade

Alerté le 21 octobre sur une faille critique du langage PHP, le portail marocain des marchés publics a été mis hors ligne « pour des raisons de sécurité et à titre préventif ». Il n’a rouvert que le 9 novembre. Pendant ce temps, ailleurs, d’autres plateformes publiaient, recevaient des plis et ouvraient des séances. Pourquoi nous, pourquoi si longtemps, et à quel prix pour les ordonnateurs et les entreprises ? Et, question qui fâche : le Trésor a-t-il été l’élève modèle du droit marocain de la cybersécurité qu’il était censé être ?

Il y a des pannes qui arrivent comme la pluie : sans prévenir. Et il y a celles qui s’annoncent, se programment, se prolongent, puis se rebaptisent « refonte de l’interface ». Celle du portail national des marchés publics appartient résolument à la seconde catégorie. Pendant près de trois semaines, l’outil par lequel transitent chaque année des dizaines de milliers de contrats publics a affiché un message aussi laconique qu’un télégramme de guerre : site temporairement indisponible.

Publicité

On aurait tort d’en rire. On aurait tort aussi de s’en priver.

Les faits : une alerte d’un jour, une fermeture de trois semaines

Publicité

Reprenons la chronologie, car elle est éloquente. Le 20 octobre 2026, les détails de deux vulnérabilités critiques du moteur PHP, baptisées « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10), fuitent avant la date de divulgation coordonnée. Elles permettent à un attaquant non authentifié d’exécuter du code à distance sur un serveur web. Le 21 octobre, le projet PHP publie les versions corrigées. Le même jour, la Direction générale de la sécurité des systèmes d’information (DGSSI) émet son alerte nationale sur ces failles.

Dans la seconde quinzaine d’octobre, le portail géré par la Trésorerie générale du Royaume (TGR) bascule hors ligne. Un premier calendrier annonce un retour au 26 octobre et une reprise des procédures le 27. Promesse non tenue. Le 6 novembre, le message de suspension trône toujours en page d’accueil. Ce n’est que le lundi 9 novembre que la plateforme redevient accessible, habillée d’une interface remaniée, avec une reprise officielle des séances fixée au 10 novembre et des échéances reportées en cascade aux 10, 11 et 12 novembre.

Entre-temps, selon les relevés de l’agrégateur Borj Marché Public, quelque 3 646 appels d’offres restaient ouverts au 8 novembre, pour un montant estimé cumulé avoisinant 30 milliards de dirhams, dont près de 1 700 censés se clôturer dans la semaine. Trente milliards en salle d’attente : même nos urgences hospitalières n’osent pas de tels chiffres.

« Gouverner, c’est prévoir. »  — Émile de Girardin. Et prévoir, en 2026, c’est savoir qu’une faille critique finit toujours par arriver. La question n’est jamais si, mais quand, et surtout combien de temps l’on met à s’en relever.

Pendant ce temps, ailleurs, les portails tournaient

La faille PHP2Shell n’avait rien de marocain. Elle touchait potentiellement tout serveur faisant tourner PHP depuis la version 5.4, c’est-à-dire une part considérable du web mondial, administrations comprises. Le CSIRT sénégalais a émis la même alerte que la DGSSI. Les éditeurs de sécurité ont publié leurs bulletins à la chaîne. Tout le monde a reçu la même lettre recommandée.

Or les vérifications auxquelles nous avons procédé montrent que des plateformes de même nature, chez nos voisins, n’ont pas connu d’interruption pour motif sécuritaire. Le portail national des marchés publics de Mauritanie, pour ne citer que lui, publiait des avis d’appels d’offres et des plans annuels d’achats les 4, 5, 6 et 8 novembre, au moment même où notre portail affichait porte close. Outre-Atlantique, l’administration fédérale américaine a laissé trois jours à ses services pour corriger. Un éditeur de sécurité comme Sophos, dont un portail hérité tournait sur une version vulnérable, l’a mis hors ligne le 21 octobre le temps de le mettre à jour, sans en faire un feuilleton.

Le contraste est cruel : la même maladie, le même vaccin disponible le jour même, mais un patient marocain placé trois semaines en coma artificiel.

« La sécurité est un processus, pas un produit. »  — Bruce Schneier

Le pourquoi : trois hypothèses, aucune flatteuse

En l’absence de communication officielle détaillée, l’analyste en est réduit à la conjecture, exercice que l’on préférerait laisser aux astrologues. Trois hypothèses tiennent la route.

• L’hypothèse de l’obsolescence. Les versions PHP 8.1 et antérieures sont en fin de vie et n’ont reçu aucun correctif officiel. Si le portail reposait sur une version ancienne, il ne s’agissait plus d’appliquer une rustine en quelques heures, mais de migrer l’application tout entière. Une « refonte visuelle » livrée à la réouverture serait alors moins un cadeau qu’un aveu. Quand on ne peut pas changer la serrure, on mure la porte, et l’on en profite pour repeindre la façade.
• L’hypothèse de la compromission. Les tentatives d’exploitation ont précédé la publication des failles. Si des traces d’intrusion ont été relevées, la fermeture prolongée relèverait d’une investigation et d’un assainissement, ce qui serait légitime, mais appellerait alors une communication à la hauteur de l’enjeu, notamment vis-à-vis des milliers d’entreprises dont les données et les plis transitent par la plateforme.
• L’hypothèse de l’excès de zèle. Faute de plan de continuité éprouvé, on préfère tout éteindre plutôt que d’assumer un risque résiduel. C’est la doctrine du médecin qui, pour éviter toute infection, interdit à son patient de respirer.

Dans les trois cas, le diagnostic converge : le problème n’est pas tant la faille, que tout le monde a subie, que l’absence apparente d’un dispositif permettant de la traiter sans arrêter la commande publique d’un pays.

L’impact sur les ordonnateurs : programmer, engager… dans le noir

Pour les ordonnateurs, le calendrier n’aurait pas pu être plus mal choisi. Novembre est le mois où l’exercice budgétaire entre dans sa dernière ligne droite : il faut lancer, attribuer, approuver et engager avant la clôture, faute de quoi les crédits, notamment d’investissement, s’exposent au couperet des règles de report fixées par la loi organique n° 130-13 relative à la loi de finances. Trois semaines de portail fermé, c’est près d’un mois de pipeline administratif figé, dans la période où chaque jour compte double.

Les conséquences en chaîne sont connues de tout praticien :

• Des séances d’ouverture des plis reportées en cascade, qui embouteillent désormais les commissions d’appel d’offres sur quelques jours ; l’arrêté n° 1692-23 prévoit bien le report de la séance en cas d’indisponibilité du portail, mais il a été pensé pour une panne de quelques heures, non pour une éclipse de trois semaines.
• Des délais de validité des offres qui courent pendant que la procédure, elle, est à l’arrêt, avec le risque de devoir solliciter des prorogations, voire de relancer des consultations.
• Une programmation prévisionnelle perturbée, les avis et programmes prévisionnels n’ayant pu être publiés ni consultés pendant la période.
• La tentation, enfin, des voies de contournement : bons de commande, procédures négociées, fractionnements « de nécessité ». Rien de tel qu’une panne de la transparence pour remettre au goût du jour le gré à gré. On ne soupçonne personne ; on constate simplement que l’occasion fait parfois le larron.

Pour le contrôle, l’affaire n’est pas neutre non plus : toute procédure perturbée est une procédure fragilisée.

L’impact sur les entreprises : la double peine des PME

Côté soumissionnaires, la note est plus salée encore. Impossible pendant la période de télécharger un dossier de consultation, de préparer et de déposer une offre, de suivre une procédure. Les équipes mobilisées sur des dossiers urgents ont été mises en attente, sans visibilité, puis sommées de tout boucler en quelques jours au moment de la réouverture.

Les cautions provisoires, elles, n’ont pas pris de congés : les frais bancaires courent. Les certificats de signature électronique, eux, ne rajeunissent pas. Et le carnet de commandes des PME, dont la survie dépend souvent de deux ou trois marchés publics par an, a encaissé un trou d’air de trois semaines en fin d’année, au moment précis où la trésorerie est la plus tendue.

Le principe d’égalité d’accès à la commande publique, inscrit à l’article premier du décret n° 2-22-431, suppose un guichet ouvert. Un guichet fermé est, par définition, égalitaire : il exclut tout le monde avec la même impartialité. Maigre consolation.

« Mal nommer les choses, c’est ajouter au malheur du monde. »  — Albert Camus

Appeler « suspension préventive » une indisponibilité de trois semaines, c’est un peu comme appeler « pause-café » une grève générale.

Le Trésor, mauvais élève de la DGSSI et de la loi ?

La question mérite d’être posée sans procès d’intention, et avec rigueur juridique.

Sur le terrain de la loi n° 05-20 relative à la cybersécurité et de son décret d’application n° 2-21-406, les administrations de l’État et les établissements publics sont tenus d’appliquer les règles de sécurité fixées par l’autorité nationale, la DGSSI, notamment à travers la directive nationale de la sécurité des systèmes d’information, et de déclarer immédiatement tout incident affectant leurs systèmes (article 8). Suspendre un service exposé à une faille critique n’est pas, en soi, une faute : c’est même un réflexe défendable. Nul ne reprochera au Trésor d’avoir pris l’alerte au sérieux.

Mais la sécurité de l’information repose sur trois piliers : confidentialité, intégrité… et disponibilité. Un système qui protège ses données en se rendant inaccessible pendant trois semaines n’a pas réussi son examen ; il a rendu copie blanche pour ne pas faire de fautes. Une administration qui gère une plateforme d’importance aussi vitale pour l’économie nationale doit disposer d’une veille sur ses composants logiciels, d’un patch management industrialisé, d’environnements de secours et d’un plan de continuité d’activité testé. Si ces dispositifs existaient, leur efficacité interroge ; s’ils n’existaient pas, leur absence interroge davantage.

Sur le terrain de la loi n° 07-03 sur la cybercriminalité, qui a introduit dans le Code pénal les articles 607-3 et suivants, il faut être honnête : ce texte réprime ceux qui accèdent frauduleusement à un système ou qui en « entravent ou faussent intentionnellement le fonctionnement ». Le Trésor y figure en victime potentielle, non en prévenu. L’ironie de la situation n’en est que plus savoureuse : pour une fois, l’entrave au fonctionnement du système de traitement automatisé des données le plus stratégique de la commande publique n’est l’œuvre d’aucun pirate. Elle est auto-administrée. Et la loi, sur ce point, est muette : on ne se poursuit pas soi-même pour s’être débranché.

Reste la transparence. Une alerte DGSSI, un message d’accueil en deux lignes, un calendrier de reprise démenti, puis une réouverture sans retour d’expérience public : c’est un peu court pour une plateforme qui a fait de la transparence sa raison d’être. Le portail avait déjà connu en 2024 des dysfonctionnements techniques ayant conduit l’Inspection générale des finances à enquêter. La récidive n’est pas un délit, mais elle devient une habitude.

Ce qu’il faudrait faire, maintenant que la lumière est revenue

• Publier un retour d’expérience : nature exacte de l’incident, présence ou non d’une compromission, mesures correctives, calendrier. Les entreprises qui confient leurs offres au portail y ont droit.
• Instituer un mode dégradé réglementé : un texte prévoyant, en cas d’indisponibilité prolongée, une procédure de dépôt alternative sécurisée et des reports automatiques et opposables des échéances, au-delà du simple report de 48 heures.
• Fixer des engagements de service (taux de disponibilité, délai maximal de rétablissement) et en rendre compte publiquement, comme pour tout service public numérique soumis à la charte des services publics.
• Soumettre la plateforme à un audit de sécurité indépendant, conformément au dispositif de la loi n° 05-20, et en publier au moins la synthèse.
• Accompagner les acheteurs publics en fin d’exercice par une circulaire claire sur le traitement des procédures perturbées et des crédits non engagés du fait de l’incident, afin d’éviter que la panne de l’un ne devienne la faute de l’autre.

Le portail est revenu, plus beau, dit-on. Tant mieux. Mais un service public numérique ne se juge pas à la couleur de ses boutons ; il se juge au jour où tout va mal. Ce jour-là, il a fermé boutique.

Au fond, la morale de l’histoire tient en une phrase, que l’on dédiera volontiers à tous les architectes de systèmes d’information publics : le seul serveur parfaitement sécurisé est un serveur éteint ; c’est aussi le seul qui ne sert à rien.