Nom du plugin	Révolution du curseur
Type de vulnérabilité	Contrôle d'accès brisé
Numéro CVE	CVE-2026-9048
Urgence	Faible
Date de publication du CVE	2026-06-01
URL source	CVE-2026-9048

Contrôle d'accès défaillant dans Slider Revolution (CVE-2026-9048) — Ce que les propriétaires de sites WordPress doivent faire maintenant

Le 1er juin 2026, une vulnérabilité de contrôle d'accès défaillant affectant Slider Revolution (versions 7.0.0 — 7.0.14) a été divulguée (CVE-2026-9048). Le problème permet à un utilisateur authentifié avec des privilèges de niveau Contributeur d'accéder à des données sensibles qui devraient être réservées à des utilisateurs ayant des privilèges plus élevés. Bien que classée comme “Faible” par le vecteur CVSS disponible, les implications dans le monde réel méritent une attention particulière car les comptes Contributeur sont couramment utilisés et peuvent exister pour des auteurs invités, des contractuels ou d'autres utilisateurs à faible confiance.

Nous sommes WP-Firewall, un fournisseur de sécurité WordPress axé sur le pare-feu, la surveillance et l'atténuation rapide. Cet article explique ce qu'est la vulnérabilité, qui est affecté, le risque pratique pour votre site, comment détecter un abus potentiel et ce que vous pouvez faire immédiatement — y compris des correctifs virtuels sûrs que vous pouvez appliquer via un WAF pendant que vous mettez à jour vers la version corrigée de Slider Revolution.

---

TL;DR (Résumé rapide)

• Une faille de contrôle d'accès défaillant dans les versions 7.0.0 à 7.0.14 de Slider Revolution permet aux utilisateurs authentifiés avec des privilèges de Contributeur d'accéder à des informations sensibles destinées aux administrateurs et aux éditeurs.
• CVE : CVE-2026-9048. CVSS (tel que publié) : 4.3.
• Correctif : Mettez à jour Slider Revolution vers la version 7.0.15 ou ultérieure.
• Atténuation immédiate si vous ne pouvez pas mettre à jour tout de suite : appliquez un correctif virtuel via un pare-feu d'application Web (WAF) pour bloquer les points de terminaison vulnérables ou exiger des capacités WordPress plus élevées pour y accéder ; révoquez les comptes Contributeur inutiles ; examinez les journaux pour un accès AJAX/admin-ajax suspect.
• Si vous souhaitez une protection immédiate et un correctif virtuel automatisé, les utilisateurs de WP-Firewall peuvent activer des ensembles de règles qui bloquent les comportements vulnérables jusqu'à ce que le plugin soit mis à jour.

---

Comprendre la vulnérabilité

Que signifie “contrôle d'accès défaillant” ici ?

Le contrôle d'accès défaillant signifie que le plugin expose des fonctionnalités ou des données sans vérifier correctement que l'utilisateur a des privilèges suffisants pour effectuer cette action ou voir ces données. Dans ce cas, les points de terminaison API ou les actions AJAX fournies par Slider Revolution étaient appelables par des utilisateurs authentifiés détenant le rôle de Contributeur alors que ces points de terminaison auraient dû être limités aux utilisateurs ayant des capacités d'éditeur/admin.

Qu'est-ce qui peut être exposé ?

Bien que les détails varient selon la configuration, les types d'informations sensibles qui peuvent être exposées par un contrôle d'accès inapproprié dans les plugins de création de pages ou de curseurs incluent :

• Objets et paramètres de configuration du plugin (qui peuvent contenir des clés, des jetons ou des données de licence).
• Chemins de fichiers, URL de téléchargement ou URL internes qui facilitent la localisation de fichiers sensibles.
• Marquage et configuration du curseur qui peuvent inclure des points de terminaison API tiers ou des identifiants.
• Métadonnées qui aident un attaquant à cartographier la structure du site ou à identifier des cibles de plus grande valeur.

Même sans accès complet d'administrateur, un attaquant qui obtient ces informations peut souvent escalader une attaque — par exemple, en trouvant un chemin vers une clé API stockée, en localisant d'autres points de terminaison administratifs vulnérables, ou en utilisant l'ingénierie sociale pour amener un utilisateur à remettre un accès supplémentaire.

Privilèges requis pour exploiter

Le problème nécessite que l'attaquant soit un utilisateur authentifié avec au moins le rôle de Contributeur (ou supérieur). Cela est notable car les comptes Contributeur sont couramment créés pour permettre aux utilisateurs de soumettre du contenu sans publication — sur de nombreux sites, s'inscrire en tant que contributeur est peu contraignant, et les comptes peuvent persister pendant des mois.

---

Évaluation des risques et de l'impact

Pourquoi une évaluation de gravité “ faible ” est-elle toujours importante

Les chiffres CVSS sont utiles pour comparer la gravité technique, mais ils ne décrivent pas toujours le risque opérationnel. CVSS 4.3 suggère un impact technique direct limité, mais le risque contextuel est plus élevé pour ces raisons :

• Les comptes de contributeurs sont faciles à obtenir ou restent actifs pendant de longues périodes.
• Les données sensibles exposées peuvent permettre des attaques secondaires (élévation de privilèges, collecte de données d'identification, ingénierie sociale ciblée).
• De nombreuses installations du plugin se trouvent sur des sites à fort trafic et des propriétés critiques pour les affaires — la divulgation d'informations peut avoir des conséquences sur la réputation ou l'opérationnel.

Objectifs typiques des attaquants

Un attaquant ayant accès aux informations divulguées par cette faille peut :

• Collecter des jetons ou des clés API tierces qui peuvent être abusées.
• Cartographier la structure du site et identifier d'autres points de terminaison administratifs à cibler.
• Insérer du contenu ou des liens malveillants (s'ils peuvent élever les privilèges ou trouver d'autres composants vulnérables).
• Se préparer à des attaques par bourrage d'identifiants ou des attaques ciblées sur les éditeurs et les administrateurs.

Qui est le plus à risque ?

• Sites avec de nombreux comptes utilisateurs à faible confiance (contributeurs, auteurs, sous-traitants).
• Sites web utilisant Slider Revolution et n'ayant pas été mis à jour vers 7.0.15+.
• Sites où la configuration du plugin contient des clés, des jetons d'intégration ou des points de terminaison personnalisés.

---

Détection de l'exploitation ou des abus tentés

Si vous administrez un site WordPress utilisant Slider Revolution, vérifiez les signes d'abus. Les indicateurs incluent :

• Demandes inhabituelles à admin-ajax.php ou aux points de terminaison REST qui font référence à des actions liées aux curseurs, en particulier provenant de comptes avec des privilèges de contributeur.
• Activité de connexion provenant de comptes de contributeurs à des moments qui ne correspondent pas au comportement attendu.
• Changements inattendus dans le contenu des curseurs, nouveaux curseurs ou configuration modifiée.
• Journaux d'accès montrant des requêtes POST/GET vers des chemins de points de terminaison spécifiques au plugin provenant d'IP inconnues ou de plusieurs géolocalisations en peu de temps.
• Fichiers de configuration exportés ou sauvegardes contenant des données inattendues.

Étapes concrètes pour détecter :

1. Inspectez les journaux d'accès de votre serveur web pour les requêtes admin-ajax.php contenant des paramètres comme action=revslider_* ou d'autres noms d'actions liés au slider. Faites attention au cookie de session d'origine et à l'agent utilisateur.
2. Dans WordPress, exportez l'activité des utilisateurs et filtrez les actions du rôle de Contributeur pendant la période pertinente.
3. Examinez les changements récents dans les tables de la base de données liées à Slider Revolution (généralement nommées avec curseur de régime des préfixes). Recherchez des lignes inattendues, de nouvelles données sérialisées ou des horodatages modifiés.
4. Effectuez une analyse complète du site pour détecter les malwares et un contrôle de l'intégrité des fichiers pour vous assurer qu'aucun nouveau fichier ou modification n'existe.

Si vous trouvez des preuves suspectes, suivez les étapes de réponse à l'incident (voir ci-dessous).

---

Remédiation immédiate : mettez à jour le plugin

Le fournisseur a corrigé le problème dans Slider Revolution 7.0.15. La meilleure action que vous puissiez entreprendre est :

• Mettez à jour Slider Revolution vers la version 7.0.15 ou ultérieure dès que possible.

Si votre site gère les mises à jour automatiquement, confirmez que la mise à jour s'est bien déroulée. Si vous gérez les mises à jour manuellement, testez la mise à jour dans un environnement de staging lorsque cela est possible, puis déployez en production. Sauvegardez votre site (fichiers + base de données) avant de mettre à jour.

---

Si vous ne pouvez pas mettre à jour immédiatement — patching virtuel et durcissement

Nous reconnaissons que certains sites ne peuvent pas être mis à jour immédiatement (thèmes personnalisés s'appuyant sur un comportement de plugin plus ancien, exigences de staging ou fenêtres de maintenance limitées). Si vous ne pouvez pas appliquer le correctif immédiatement, mettez en place ces atténuations immédiatement :

1. Restreignez l'accès aux points de terminaison du plugin. Bloquez ou filtrez les requêtes vers les actions AJAX administratives et les routes REST du plugin, sauf si la requête provient d'un utilisateur ayant des capacités suffisantes. Cela est mieux réalisé via un WAF qui comprend les sessions et les capacités de WordPress.
2. Réduisez temporairement l'activité des contributeurs. Désactivez les nouvelles inscriptions de contributeurs et examinez les comptes de contributeurs existants. Supprimez ou suspendez tout compte de contributeur non nécessaire.
3. Renforcez les comptes utilisateurs. Forcez les réinitialisations de mot de passe pour les utilisateurs ayant un accès élevé, appliquez des mots de passe forts et activez l'authentification à deux facteurs pour les éditeurs et les administrateurs.
4. Auditez et faites tourner les identifiants. Si votre site stocke des clés API ou des jetons tiers dans les paramètres du plugin, faites tourner ces identifiants si vous soupçonnez une exposition.
5. Surveillez les journaux de manière agressive pour détecter des appels suspects aux points de terminaison du slider.

Ci-dessous, nous montrons des exemples de règles de patch virtuel WAF et des concepts que vous pouvez mettre en œuvre avec WP-Firewall ou avec un WAF au niveau de l'hébergement. Cela vous protège jusqu'à ce que vous puissiez appliquer le correctif du fournisseur.

---

Exemples de patchs virtuels WP-Firewall (conceptuels)

WP-Firewall peut mettre en œuvre des patchs virtuels au niveau de l'application en inspectant le rôle/capacités de l'utilisateur connecté et en bloquant les demandes qui tentent d'accéder aux points de terminaison de plugin vulnérables lorsque le rôle de l'utilisateur est insuffisant.

Important: Les exemples de règles ci-dessous sont conceptuels et montrent la logique à appliquer. Les clients de WP-Firewall peuvent activer un pack de règles prêt à l'emploi qui met immédiatement en œuvre ce comportement.

Exemple: Bloquer les actions AJAX qui ciblent Slider Revolution lorsque l'utilisateur actuel ne peut pas gérer les curseurs.

Pseudo-règle (style WP-Firewall) :

• Condition:
  • Méthode de demande : POST ou GET
  • Chemin de demande : /wp-admin/admin-ajax.php OU tout chemin de point de terminaison spécifique au plugin qui correspond à /wp-json/revslider/* (varie selon la version du plugin)
  • La demande contient un paramètre/action correspondant aux actions revslider (par exemple, l'action contient “revslider” ou “slider_revolution”)
  • Capacité actuelle de l'utilisateur WordPress : l'utilisateur n'a pas la capacité “manage_options” OU “edit_others_posts” ou quelle que soit la capacité utilisée par votre environnement pour les éditeurs/admins
• Action:
  • Bloquer la demande avec HTTP 403, enregistrer l'événement, notifier l'administrateur du site.

Un exemple de règle simplifiée sous une forme lisible par l'homme :

• Si la demande est à admin-ajax.php ET la requête inclut “action=revslider” (ou similaire) ET le rôle de l'utilisateur authentifié est contributeur OU auteur -> bloquer et enregistrer.

Exemple de politique de type JSON (conceptuel) :

{
  "name": "Block slider admin actions for non-admins",
  "conditions": [
    { "request_path": "/wp-admin/admin-ajax.php" },
    { "param_name": "action", "param_value_contains": "revslider" },
    { "user_capability": "less_than", "capability": "edit_pages" }
  ],
  "action": "block",
  "response_code": 403,
  "log": true
}

Remarque : Quelle “capacité” vérifier dépend de votre mappage des permissions WordPress. Les patchs virtuels de WP-Firewall vérifient les capacités réelles, pas les rôles, pour éviter les différences de noms de rôle entre les sites.

---

Règles de niveau d'hébergement / style ModSecurity (exemple)

Si vous n'avez pas d'inspection au niveau de l'application disponible, vous pouvez mettre en œuvre un blocage au niveau IP ou par motif d'URL dans ModSecurity ou votre WAF d'hébergement. Ces règles sont moins précises (elles ne peuvent pas facilement vérifier le rôle WordPress du demandeur), mais elles peuvent toujours réduire la surface d'attaque.

Exemple de règle ModSecurity (conceptuelle) :

# Bloquer les actions de curseur admin-ajax provenant de sources suspectes"

Avertissement : Le blocage par la présence de cookies est fragile et peut entraîner des faux positifs/négatifs. Dans la mesure du possible, préférez l'approche WP-Firewall qui peut introspecter les sessions WP et les rôles des utilisateurs.

---

Comment tester votre patch virtuel

1. À partir d'un environnement de staging, créez un utilisateur avec des privilèges de contributeur.
2. Connectez-vous en tant que contributeur et essayez d'effectuer une action liée au curseur qui était auparavant accessible uniquement aux administrateurs (à des fins de test uniquement ; ne créez ni ne modifiez de contenu de production).
3. La demande devrait être refusée (HTTP 403) lorsque le patch virtuel est actif.
4. Testez en tant qu'administrateur/éditeur pour vous assurer que la fonctionnalité légitime de l'administrateur n'est pas affectée.
5. Surveillez les journaux et les alertes déclenchées par la règle — examinez si des faux positifs se produisent et affinez les règles en conséquence.

Si vous voyez des faux positifs qui bloquent des flux de travail légitimes, ajustez les seuils de capacité et mettez sur liste blanche les IP ou utilisateurs de confiance.

---

Réponse à l'incident — si vous pensez que la vulnérabilité a été exploitée

Si vous détectez des signes que votre site a pu être ciblé ou abusé via cette vulnérabilité, agissez rapidement :

1. Isoler le site :
   • Mettez le site en mode maintenance ou restreignez temporairement l'accès aux administrateurs.
2. Conservez les journaux :
   • Copiez les journaux d'accès, les journaux WAF et les journaux WordPress pour un examen judiciaire.
3. Définir la portée :
   • Quels comptes ont effectué les demandes suspectes ?
   • Quelles données ont été demandées ou retournées ? Quelles entrées de base de données ont été lues ou modifiées ?
4. Les secrets de la rotation :
   • Faites tourner toutes les clés API ou jetons qui pourraient avoir été exposés dans les paramètres du plugin.
5. Passez en revue les fichiers et la base de données :
   • Recherchez des Web shells, des fichiers de thème/plugin modifiés, une planification inhabituelle (tâches cron), des utilisateurs administrateurs inattendus et des changements dans les tables revslider.
6. Nettoyer et restaurer :
   • Si vous trouvez des modifications non autorisées, restaurez à partir d'une sauvegarde connue comme bonne prise avant l'incident.
7. Réinitialisez les identifiants :
   • Forcez les réinitialisations pour les comptes administrateur et éditeur. Envisagez également de réinitialiser les mots de passe des contributeurs.
8. Rapportez et documentez :
   • Faites un enregistrement de l'incident, des étapes de remédiation et de toute action de suivi à des fins d'audit.

En cas de doute, engagez un fournisseur de réponse aux incidents professionnel ou un développeur averti en matière de sécurité pour vous assurer que le site a été soigneusement nettoyé.

---

Recommandations de durcissement à long terme

Les solutions à court terme sont vitales, mais utilisez cet incident comme une opportunité pour renforcer votre environnement :

• Principe du moindre privilège : Donnez aux utilisateurs uniquement les capacités dont ils ont besoin. Évitez d'utiliser des comptes de contributeur pour le personnel éditorial régulier s'ils doivent interagir avec des plugins complexes.
• Examinez régulièrement les comptes utilisateurs : Supprimez les comptes obsolètes ou inutiles. Appliquez un accès limité dans le temps pour les sous-traitants.
• Utilisez l'authentification à deux facteurs (2FA) pour les éditeurs et les administrateurs.
• Appliquez des politiques de mot de passe fortes et une rotation périodique.
• Mettez à jour automatiquement en toute sécurité : Pour les plugins avec des correctifs de sécurité réguliers, envisagez d'activer les mises à jour automatiques pour les petites versions de sécurité — mais testez d'abord les mises à jour majeures en préproduction.
• Maintenez une stratégie de sauvegarde sécurisée : Conservez plusieurs sauvegardes (sur site et hors site), et assurez l'intégrité des sauvegardes.
• Surveillez : Utilisez la journalisation au niveau de l'application et un WAF pour détecter rapidement les comportements anormaux.
• Hygiène des fournisseurs : N'installez et ne conservez que des plugins mis à jour provenant de développeurs réputés. Gardez une empreinte de plugin minimale.
• Gestion des secrets : Évitez de stocker des clés tierces sensibles dans les options de plugin si possible ; si vous devez le faire, stockez-les dans des variables d'environnement ou un gestionnaire de secrets auquel le plugin peut faire référence.

---

Exemples de requêtes de détection et de vérifications pour les administrateurs

• Recherchez dans vos journaux de serveur des appels admin-ajax suspects :
  • grep "admin-ajax.php" access.log | grep "revslider"
• Examinez l'activité des utilisateurs WP :
  • Utilisez votre plugin de journalisation d'activité ou des requêtes de base de données pour lister les actions effectuées par les utilisateurs ayant le rôle de contributeur au cours des 30 derniers jours.
• Vérifiez les nouvelles entrées ou les entrées modifiées dans les tables de base de données liées à revslider :
  • SELECT * FROM wp_revslider_sliders ORDER BY updated_on DESC LIMIT 50;
  • (Remplacez les noms de table selon votre préfixe.)
• Scannez les modifications récentes de fichiers :
  • Utiliser trouvez ou votre outil de sauvegarde pour lister les fichiers modifiés récemment dans wp-content/plugins/revslider ou les répertoires de thème.

---

Pourquoi le patching virtuel basé sur WAF est important

• Le temps de correction est souvent plus long que le temps d'exploitation. Un WAF peut être déployé en quelques minutes pour prévenir l'exploitation de points de terminaison vulnérables connus pendant que vous planifiez et exécutez la mise à jour appropriée du plugin.
• Les correctifs virtuels minimisent les perturbations opérationnelles ; les règles peuvent être limitées au comportement vulnérable et supprimées après l'application du correctif du fournisseur.
• Les WAF qui comprennent les sessions et les capacités de WordPress peuvent appliquer le modèle de permission au niveau de l'application — ajoutant efficacement un contrôle d'autorisation temporaire.

WP-Firewall fournit des capacités de patching virtuel conçues spécifiquement pour atténuer rapidement et en toute sécurité ces types de problèmes de contrôle d'accès des plugins WordPress.

---

Comment WP-Firewall vous protège (notre approche)

Chez WP-Firewall, nous abordons les incidents comme celui-ci avec trois priorités : bloquer l'exploitation, identifier toute compromission et vous aider à récupérer en toute sécurité.

• Patches virtuels rapides : Nous publions et appliquons des ensembles de règles qui bloquent les points de terminaison vulnérables connus et les comportements spécifiques aux plugins en quelques minutes.
• Règles conscientes de WordPress : Nos règles peuvent vérifier les cookies d'authentification WordPress et les capacités des utilisateurs pour éviter les faux positifs tout en appliquant le bon modèle d'autorisation.
• Surveillance et alertes : Nous mettons en évidence les demandes et comportements utilisateurs anormaux afin que vous puissiez réagir plus rapidement.
• Conseils de remédiation : Nous fournissons des guides de remédiation étape par étape (comme cet article) et, pour les plans payants, des services gérés pour effectuer la containment et le nettoyage des incidents.

---

Nouveau : Commencez avec WP-Firewall Basic (Gratuit) — protection essentielle à coût zéro.

Si vous n'êtes pas encore protégé, envisagez d'obtenir une protection de base immédiate en commençant par notre plan Basic (Gratuit). Il comprend des fonctionnalités essentielles de pare-feu géré, une bande passante illimitée, un pare-feu d'application web (WAF), une analyse de malware et une atténuation automatisée des risques OWASP Top 10. C'est un moyen pratique d'obtenir une protection pendant que vous planifiez les mises à jour nécessaires des plugins et les audits des utilisateurs.

Pour en savoir plus et vous inscrire au forfait gratuit : https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Si vous avez besoin d'une automatisation supplémentaire telle que la suppression automatique de malware, le blacklistage/whitelistage d'IP, des rapports de sécurité mensuels ou le patching virtuel automatique — nos plans Standard et Pro ajoutent ces capacités.)

---

Liste de contrôle pratique — ce que vous devez faire maintenant

1. Vérifiez immédiatement si vous utilisez Slider Revolution et vérifiez la version du plugin.
2. Si vous utilisez une version vulnérable (7.0.0 — 7.0.14), prévoyez de mettre à jour vers 7.0.15+ immédiatement. Testez en staging si nécessaire.
3. Si vous ne pouvez pas mettre à jour instantanément :
   • Activez les règles de patching virtuel de WP-Firewall pour Slider Revolution.
   • Restreignez temporairement la fonctionnalité de Contributeur et auditez les comptes de Contributeur existants.
   • Surveillez les journaux pour des appels admin-ajax ou REST suspects liés aux curseurs.
4. Faites tourner toutes les clés API trouvées dans les paramètres du plugin si vous soupçonnez une exposition.
5. Si vous détectez une activité suspecte, suivez les étapes de réponse aux incidents ci-dessus.
6. Après la mise à jour, supprimez les règles WAF temporaires et validez la fonctionnalité du site ; continuez à surveiller pendant au moins 30 jours.

---

Questions fréquemment posées (FAQ)

Q : Mon site n'autorise pas l'enregistrement de Contributeurs — suis-je en sécurité ?
UN: Vous êtes moins exposé, mais vérifiez tout de même les comptes de Contributeurs obsolètes et assurez-vous que des comptes de contracteurs/invités n'ont pas été créés. Vérifiez également que d'autres rôles à faible privilège ne sont pas autorisés à accéder aux points de terminaison du plugin en raison de modifications de rôle personnalisées.

Q : Un contributeur peut-il escalader vers l'administrateur via ce bug seul ?
UN: La divulgation concerne l'exposition d'informations sensibles causée par une autorisation incorrecte, et non une élévation de privilèges directe à un administrateur complet. Cependant, la divulgation d'informations peut faciliter des chemins d'escalade secondaires, donc la vulnérabilité doit être prise au sérieux.

Q : J'ai mis à jour le plugin mais je vois toujours des requêtes suspectes. Que faire maintenant ?
UN: Gardez les règles WAF actives pendant que vous examinez les journaux. Mettez à jour et faites tourner les identifiants s'ils ont pu être exposés. Si vous trouvez des signes de compromission active, suivez les étapes de réponse à l'incident et envisagez une aide professionnelle.

---

Réflexions finales

Les vulnérabilités de contrôle d'accès brisé comme CVE-2026-9048 rappellent que la logique d'autorisation est aussi importante que l'authentification. Les comptes de niveau contributeur sont souvent oubliés mais peuvent représenter un réel risque lorsqu'ils sont combinés avec des bugs de plugin. La meilleure défense est une défense en couches : gardez les logiciels à jour, limitez les privilèges, utilisez un WAF conscient de WordPress qui peut appliquer des correctifs virtuels, et maintenez une bonne hygiène de surveillance et de sauvegarde.

Si vous avez besoin d'une assistance immédiate pour mettre en œuvre des correctifs virtuels ou souhaitez activer des règles WAF conscientes de WordPress pour cette vulnérabilité, WP-Firewall peut aider. Commencez avec le plan de base (gratuit) pour obtenir une protection immédiate et ajoutez des services avancés lorsque vous êtes prêt : https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Restez en sécurité — l'équipe de sécurité WP-Firewall

---

Références et lectures complémentaires

• CVE-2026-9048 (contrôle d'accès brisé de Slider Revolution)
• Notes de version du fournisseur : Slider Revolution 7.0.15 (le correctif inclut des corrections de contrôle d'accès)
• OWASP : Contrôle d'accès brisé — modèles d'atténuation et meilleures pratiques

(Remarque : Cet article est destiné à aider les administrateurs WordPress et les propriétaires de sites à prendre des décisions éclairées. Si vous n'êtes pas sûr ou si votre situation est complexe, envisagez de faire appel à un consultant en sécurité professionnel.)