Le plan d’action d’une directrice sans budget TI : trois gestes à faire ce mois-ci

Que peut faire une direction de CPE, de garderie ou de bureau coordonnateur sans budget TI ni technicien ? Trois choses, dès ce mois-ci : remplacer le courriel personnel par une adresse au nom du service, faire activer SPF, DKIM et DMARC sur son domaine, puis faire mettre à jour ou débrancher le vieux site web. Aucun n’exige d’acheter un logiciel : la plupart se règlent avec un courriel bien écrit.

Ces gestes découlent de l’analyse publiée par Éric Rousseau le 22 avril 2026, qui a observé de l’extérieur, sans test intrusif, les 3 814 services de garde du répertoire public du ministère de la Famille. Son constat : la sécurité numérique suit le financement, n’est dans le budget de personne et, à sa connaissance, aucune directive du ministère ne l’encadre. Reste la question pratique : « Lundi matin, je fais quoi ? »

Où en est votre réseau ?

L’étude a noté les 2 240 services qui ont leur propre domaine selon les trois protections décrites plus bas : 3 sur 3 veut dire que les trois sont en place. Ces moyennes décrivent des groupes, jamais un établissement.

Repère	Résultat
Courriel personnel (Gmail, Hotmail, etc.) comme contact principal	41 % des services (1 570)
SPF, DMARC et DKIM en place (services avec domaine propre)	97 %, 75 % et 57 %
Note parfaite de 3 sur 3	47 %
Aucune protection	81 services (2 % du total)
CPE, note moyenne	2,42 sur 3 (DKIM et DMARC à 72 %)
Garderies privées, note moyenne	2,19 sur 3 (DKIM à 44 %)
Nord-du-Québec et Bas-Saint-Laurent	2,77 et 2,49 sur 3
Chaudière-Appalaches, Estrie, Outaouais	Autour de 2,06 sur 3
Serveurs de courriel situés aux États-Unis	41 % des adresses IP localisées (58 % au Canada)
Composants web aux vulnérabilités connues	154 établissements (4 %)
Enregistrement DNS « ftp » actif	1 178 domaines (31 %)

Quelques précisions. Le DKIM est probablement sous-estimé (sélecteurs non tous testés). Le 41 % de serveurs américains vient du corps de l’étude et porte sur les adresses IP localisées (86 % du total) ; son récapitulatif final parle plutôt de 35 % des courriels. Un numéro de version affiché ne prouve pas qu’une faille est exploitable. Les données datent d’avril 2026. Être au bas du tableau n’est pas un reproche : c’est le reflet de budgets serrés.

Geste 1 : une adresse au nom du service, pas de la directrice

Une adresse Gmail ou Hotmail appartient à une personne : le jour où elle part, les échanges avec les familles partent avec elle. Le service n’en contrôle pas l’accès, et le domaine appartenant à Google ou à Microsoft, impossible d’y ajouter les protections du geste 2.

Comme on l’explique dans La Loi 25 s’applique à votre CPE, la loi sur le secteur privé s’applique à votre service : mesures de sécurité raisonnables selon la sensibilité des renseignements (art. 10), et titre et coordonnées de la personne responsable de la protection des renseignements personnels publiés sur votre site (art. 3.1).

Les options et leur coût réel

• Le nom de domaine. Un nom comme cpe-exemple.ca, loué à l’année auprès d’un registraire, au nom de la personne morale. Coût : le renouvellement annuel.
• Google Workspace for Nonprofits. Sans frais pour les organismes admissibles. Au Canada, les critères de Google incluent les organisations à but non lucratif de régime provincial, validées par son partenaire Goodstack.
• Microsoft 365 Business Basic pour OBNL. Microsoft a retiré en 2025 sa subvention Business Premium, mais les 300 premières licences Business Basic, messagerie Exchange comprise, restent gratuites pour les organismes admissibles.
• Pour une garderie privée. Pas admissible aux programmes OBNL. Google affiche son forfait Business Starter à 9,20 $ par utilisateur par mois, avant taxes, au Canada. Vérifiez d’abord si votre hébergement web inclut déjà des boîtes courriel.

Gardez l’ancienne adresse quelques mois avec une réponse automatique, puis fermez-la. Et adoptez une règle : aucun numéro d’assurance sociale par courriel. Le cas de Rosemère, où un fichier de NAS de parents est parti dans un envoi collectif, le rappelle.

Scénario fictif. Les parents du CPE Les Petits Hiboux écrivent depuis neuf ans au Gmail de la directrice, qui prend sa retraite. Le compte contient des fiches de santé, et personne d’autre n’a le mot de passe. Et n’importe qui peut ouvrir une adresse Gmail presque identique. Avec un domaine au nom du CPE, la boîte change simplement de titulaire, les familles savent qu’un message officiel se termine par @lespetitshiboux.ca, et DMARC aide leurs messageries à écarter les faux qui imitent ce domaine exact.

Geste 2 : SPF, DKIM et DMARC, trois lignes dans votre domaine

Ce sont trois enregistrements dans le DNS, l’annuaire public de votre domaine. SPF liste les serveurs autorisés à envoyer en votre nom. DKIM signe chaque message pour prouver qu’il n’a pas été modifié. DMARC dit aux messageries des destinataires quoi faire d’un message qui échoue : le livrer, le mettre aux indésirables ou le rejeter.

Protection	Où l’inscrire	Valeur type
SPF	Votre domaine, enregistrement TXT	v=spf1 include:(serveur de votre fournisseur) -all
DKIM	(sélecteur)._domainkey.votredomaine.ca	La clé publique générée dans la console de votre fournisseur de courriel
DMARC	_dmarc.votredomaine.ca, enregistrement TXT	v=DMARC1; p=none; rua=mailto:[email protected]

Le courriel à envoyer à votre fournisseur : « Pourriez-vous publier SPF, DKIM et DMARC pour notre domaine, selon la directive ITSP.40.065 du Centre canadien pour la cybersécurité, en commençant DMARC à p=none ? Incluez nos services d’envoi : logiciel de gestion, infolettre, facturation. »

Laissez une journée aux changements DNS, puis quelques semaines de surveillance pour vérifier que vos envois légitimes passent. Le Centre canadien recommande ensuite « quarantine », puis « reject », en surveillant les rapports à chaque étape. Pour vérifier, les outils gratuits de MXToolbox affichent vos enregistrements SPF et DMARC.

Un 3 sur 3 ne rend pas votre courriel invulnérable : il empêche surtout qu’on envoie des messages portant exactement votre adresse. Les fraudeurs misent aussi sur l’urgence et les adresses presque identiques, deux signes dont Pensez cybersécurité recommande de se méfier. Un changement de compte bancaire se vérifie donc toujours par téléphone, comme dans Le traiteur qui change de compte bancaire.

Geste 3 : le vieux site web, mettre à jour ou débrancher

Parmi les 154 établissements signalés par l’étude, 42 sites tournent sous PHP 7.4, sans correctif de sécurité depuis novembre 2022, 19 sous PHP 5, 32 sur une version vulnérable d’Apache et 28 sous un WordPress dépassé. Le FTP, présent dans le DNS de 31 % des domaines, transmet les fichiers sans chiffrement. Sa présence ne prouve pas qu’un serveur est ouvert, mais elle trahit souvent une installation jamais revue.

Qui est responsable ? Celui qui a construit le site, l’hébergeur et, au bout du compte, votre service, qui répond des renseignements recueillis. Souvent, un parent bénévole l’a monté il y a des années et plus personne n’a les accès. Écrivez à votre hébergeur et demandez une réponse écrite à quatre questions :

1. Quelle version de PHP fait tourner notre site, et reçoit-elle encore des correctifs ?
2. WordPress, le thème et les extensions sont-ils à jour, et qui s’en occupe ?
3. L’accès FTP est-il actif, et peut-on le remplacer par SFTP ou le tableau de bord de l’hébergeur ?
4. Qui détient les comptes administrateurs, avec double authentification ?

Retirez plutôt que de mettre à jour si personne ne peut s’y connecter, si le site n’a pas bougé depuis des années ou s’il contient des formulaires et des documents devenus inutiles. Une page unique avec vos coordonnées et le titre de la personne responsable des renseignements personnels suffit souvent. Le cas de Petite-Ourse, où des fiches d’inscription sont restées en ligne tout un été, rappelle qu’un document oublié peut faire autant de dégâts qu’une faille. On retire le site, jamais le domaine, dont dépend votre courriel.

Vos courriels aux États-Unis : une question à vous poser

Selon l’étude, 41 % des serveurs de courriel localisés sont aux États-Unis, surtout chez Google (756 services) et Amazon (387). La loi québécoise n’interdit pas d’héberger ses courriels hors Québec : elle encadre la décision. Son article 17 exige, avant de communiquer un renseignement personnel hors Québec ou d’en confier la conservation à l’extérieur, une évaluation des facteurs relatifs à la vie privée et une entente écrite. Le CLOUD Act, lui, permet aux autorités américaines d’exiger des données d’un fournisseur américain, où que soit son serveur. Pour cette évaluation, servez-vous de « Hébergé au Canada » ne suffit pas et des 12 questions à poser à votre fournisseur de logiciel.

La bonne nouvelle : la fragmentation du réseau limite les dégâts

Chaque service de garde est géré séparément : aucune grande base centrale n’exposerait tous les enfants du Québec d’un coup. Un incident dans un service ne met pas les autres en danger. Cette fragmentation limite la portée d’une attaque et permet à chaque direction d’agir sans attendre. Si un pépin survient, gardez sous la main La première heure après une cyberattaque et le registre décrit dans Le courriel envoyé au mauvais parent.

Ce que ça change pour votre service de garde

1. Faire l’inventaire des accès (courriel, domaine, site). Délai : 30 minutes. Coût : aucun.
2. Mettre le domaine au nom du service, avec renouvellement automatique. Délai : quelques jours. Coût : le renouvellement annuel.
3. Ouvrir les boîtes institutionnelles par un programme OBNL ou un forfait payant. Délai : quelques semaines. Coût : nul pour un OBNL admissible, sinon un tarif par utilisateur.
4. Activer la double authentification sur chaque boîte (voir La double authentification en trois questions). Délai : une heure. Coût : aucun.
5. Publier SPF, DKIM et DMARC, puis resserrer DMARC après quelques semaines. Coût : le temps du fournisseur, s’il le facture.
6. Trancher pour le site web après les quatre questions à l’hébergeur. Délai : un mois. Coût : nul pour un retrait, sinon le tarif horaire du fournisseur.

La liste de contrôle de 10 minutes (à imprimer)

Chaque case vide devient une ligne de votre plan du mois.

• ☐ Les parents nous écrivent à une adresse qui se termine par notre propre domaine.
• ☐ Le domaine est enregistré au nom du service, avec renouvellement automatique.
• ☐ Deux personnes de confiance ont accès au courriel, au domaine et au site.
• ☐ La double authentification est activée sur toutes les boîtes.
• ☐ SPF, DKIM et DMARC sont publiés (vérification gratuite dans MXToolbox).
• ☐ DMARC passera bientôt de « none » à « quarantine » ou « reject ».
• ☐ Nous savons où sont nos courriels, et l’évaluation de l’article 17 est faite.
• ☐ Nous connaissons la version de PHP et de WordPress de notre site, ou il a été retiré.
• ☐ Aucun accès FTP non chiffré n’est actif.
• ☐ Les coordonnées de la personne responsable des renseignements personnels sont publiées sur notre site, avec une adresse du service.

Sources

• Éric Rousseau, « SDG : la cybersécurité suit (souvent) le budget », Amisgest, 22 avril 2026, incluant la note méthodologique
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.1, 10 et 17, LégisQuébec
• Centre canadien pour la cybersécurité, « Directives de mise en œuvre : protection du domaine de courrier (ITSP.40.065 v1.1) »
• Pensez cybersécurité, « Comment prévenir une tentative d’hameçonnage (pour les petites entreprises) »
• Google, « Édition Google Workspace for Nonprofits »
• Google Workspace, page des tarifs pour le Canada
• Microsoft Community Hub, « Transitioning from Microsoft 365 Business Premium to Business Basic: What Nonprofits Need to Know », mai 2025
• Ministère de la Famille, « Liste des centres de la petite enfance (CPE), garderies et bureaux coordonnateurs en fonction », Données Québec

À lire aussi

Générale

Pourquoi aucun service de garde ne peut se passer de cybersécurité

4 février 2025 · 8 min de lecture

Générale

Vérifiez qui a évalué un logiciel ou un jouet connecté avant de l’installer

5 mars 2026 · 7 min de lecture

Générale

Les cinq mécanismes qui reviennent dans dix ans de fuites de données d’enfants

25 août 2026 · 11 min de lecture