Cyber-assurance et pentest :
pourquoi votre indemnisation peut être refusée sans audit récent (guide 2026)

TL;DR : ce qu'il faut retenir

• Le marché a basculé en 2024-2025 : LOPMI (72h pour porter plainte), transposition NIS2 (devoir de diligence opposable) et durcissement des assureurs ont rendu de nombreuses polices cyber inopérantes face à des sinistres mal documentés.
• Trois causes de refus dominent en 2026 : non-respect du délai LOPMI 72h, négligence grave caractérisée (MFA absente, sauvegardes non testées, patches en retard), fausses déclarations dans le questionnaire de souscription.
• Le pentest est devenu le pivot : c'est la seule preuve technique opposable qu'un attaquant tiers expert a échoué à compromettre votre SI. Aucune certification ni outil ne peut le remplacer dans la grille des assureurs majeurs.
• Les économies sont réelles : entre 10 et 25 % de réduction de prime pour les assurés ayant un pentest annuel documenté. Sur une prime de 12 000 €, le pentest se paie quasiment seul.
• Cinq retex anonymisés illustrent les pièges concrets dans cet article : PME 80 salariés refusée pour MFA absente, ETI 200 salariés exclue pour sauvegarde corrompue, e-commerce indemnisation réduite de 50 % pour pentest expiré.
• NIS2 article 21 paragraphe (g) mentionne explicitement « l'évaluation de l'efficacité des mesures » : interprété de manière unanime comme une obligation de pentest régulier pour les entités concernées.

1. Comment marche vraiment la cyber-assurance en 2026

Une police cyber-assurance, c'est un contrat de mutualisation du risque entre vous et un assureur. Vous payez une prime annuelle calibrée sur votre chiffre d'affaires, votre secteur et votre maturité cyber déclarée. En échange, l'assureur prend en charge certains frais en cas de sinistre cyber, jusqu'à un plafond négocié.

La spécificité de la cyber-assurance par rapport à toutes les autres polices d'entreprise, c'est sa vérification a posteriori. Quand votre garage déclare un dégât des eaux, l'assureur ne demande pas à vérifier si vous aviez bien entretenu votre toiture pendant trois ans. En cyber-assurance, oui : l'expert mandaté par l'assureur regarde ce que vous aviez fait avant, pendant et après l'incident. C'est cette spécificité qui crée la majorité des refus.

Ce qu'une bonne police couvre en 2026

Les couvertures se répartissent typiquement en quatre familles, dont la combinaison donne le plafond global de votre contrat.

• Frais d'urgence et d'investigation : réponse à incident, forensique, communication de crise, avocats spécialisés RGPD, conseil DPO externe ponctuel. Ordre de grandeur : 100 à 500 K€ pour une PME.
• Frais de remise en état : reconstruction des systèmes, restauration des données, audit post-incident. Ordre de grandeur : 80 à 400 K€.
• Pertes financières : perte d'exploitation, vol de fonds (BEC, fraude au président), rançon dans les juridictions où c'est légal, frais de notification clients RGPD. Ordre de grandeur : 200 K à 5 M€.
• Responsabilité civile cyber : actions en justice de clients ou tiers lésés par la fuite de données, frais de défense, transactions. Ordre de grandeur : 500 K à 10 M€.

Ce qu'aucune police ne couvre (les exclusions classiques)

C'est le terrain de jeu favori des assureurs en 2026. Les exclusions standards sont devenues :

• Acte de guerre ou cyberguerre : depuis 2022 et la guerre en Ukraine, les assureurs majeurs ont durci la définition d'« acte de guerre ». NotPetya en 2017 avait servi de jurisprudence. En 2026, toute attaque attribuable à un État, même indirectement, peut tomber dans cette exclusion.
• Faute intentionnelle ou dolosive de l'assuré ou d'un dirigeant.
• Négligence grave : la grande exclusion de 2026, on y revient en détail dans la section 2.
• Vulnérabilités connues non patchées : si l'attaquant a exploité un CVE public depuis plus de 30 ou 90 jours selon les contrats, l'assureur peut retirer la couverture.
• Incidents antérieurs à la souscription : si l'attaquant était dans votre SI avant la signature du contrat (cas fréquent avec les advanced persistent threats), l'assureur peut argumenter que l'incident a démarré avant la couverture.
• Cloud SaaS tiers : si la fuite vient de votre fournisseur cloud, l'assureur peut renvoyer vers leur propre assurance.
• Sanctions internationales : si l'attaquant est dans un pays sous sanction (Iran, Corée du Nord, Russie, Cuba, Syrie), votre assureur ne peut pas légalement payer une rançon.
• Atteintes à la propriété intellectuelle : généralement traitées dans une police dédiée.

2. La négligence grave : la grande exclusion qui défonce les PME en 2026

La négligence grave n'est pas définie précisément dans la loi française. C'est la jurisprudence et les contrats qui en précisent les contours. Les assureurs cyber majeurs ont harmonisé leurs critères en 2024-2025, et ce qui suit représente le standard de marché 2026.

Les 12 contrôles que ton assureur va faire après un incident

L'expert forensique mandaté par l'assureur (Mandiant, Coveware, Wavestone, Almond, ou des cabinets locaux) examine systématiquement ces 12 points. Si plus de trois sont en défaut, vous risquez la réduction d'indemnisation. Si plus de six sont en défaut, vous risquez le refus total.

1. Authentification multifacteur (MFA) activée sur les comptes admin, les accès distants (RDP, VPN, SSH), les boîtes mail, les applications SaaS critiques (paie, ERP, CRM).
2. Sauvegardes 3-2-1 : trois copies, sur deux supports, dont une hors site et offline (immutable). Test de restauration effectué et documenté dans les 90 jours.
3. Patch management : politique formalisée, délai cible inférieur à 30 jours pour les patches critiques, registre des vulnérabilités connues et de leur traitement.
4. EDR ou antivirus de nouvelle génération sur tous les postes critiques (back-office, comptabilité, direction), avec alertes centralisées.
5. Segmentation réseau : VLAN distincts pour client, staff, management. Les caisses ou systèmes industriels ne sont pas sur le même réseau que les postes bureautiques.
6. Politique de mots de passe documentée, avec longueur minimale, rotation, interdiction de réutilisation. Un coffre-fort partagé pour les comptes techniques.
7. Sensibilisation phishing : campagne de simulation et formation des collaborateurs au moins annuelle, avec mesure du taux de clic et plan d'amélioration.
8. Plan de réponse à incident formalisé, désignant les rôles, les procédures et les contacts d'urgence. Ce plan doit avoir été testé au moins une fois (exercice de table-top minimum).
9. Cartographie des actifs : inventaire à jour des serveurs, applicatifs, comptes, données sensibles. Sans cartographie, impossible de prouver la diligence.
10. Contrats sous-traitants RGPD signés, avec annexe sécurité. Tous les prestataires qui touchent à des données personnelles doivent avoir des engagements contractuels.
11. Pentest ou audit indépendant de moins de 24 mois, idéalement annuel pour les ETI et entités NIS2. Le rapport doit être disponible et le plan de remédiation tracé.
12. Logs centralisés sur les serveurs critiques, conservés au moins 90 jours, accessibles en lecture seule par un système distinct.

Les assureurs n'utilisent pas tous les mêmes mots, mais les 12 contrôles sont devenus universels en 2026. Quand l'expert ouvre son tableur, il coche oui ou non sur chacun. Le verdict tombe en quelques heures.

3. La LOPMI et le piège du délai de 72h

La LOPMI (loi d'orientation et de programmation du ministère de l'intérieur) du 24 janvier 2023, applicable depuis avril 2023, a créé l'obligation pour tout assuré victime d'une cyberattaque de déposer plainte sous 72 heures après en avoir pris connaissance, sous peine de perdre son indemnisation cyber-assurance.

L'objectif est légitime : encourager la dénonciation et alimenter le renseignement criminel français contre les groupes ransomware. Mais le résultat pratique a piégé des dizaines de PME depuis 2024.

Le scénario type : une PME découvre vendredi soir que ses serveurs sont chiffrés. Elle appelle son infogérant qui passe le week-end à essayer de restaurer. Le lundi, le dirigeant appelle son courtier d'assurance, qui lui apprend qu'il faut déposer plainte. Le mardi, plainte déposée. Soit plus de 72 heures après la découverte. L'assureur, en lisant la timeline forensique, constate que le délai n'a pas été respecté. Refus.

Le délai LOPMI commence à courir à partir du moment où vous avez connaissance de l'incident, pas à partir du moment où vous décidez d'agir. Et la connaissance peut être imputée au technicien qui a vu l'alerte avant son patron, ou au DSI qui a remarqué une anomalie deux jours avant la crise visible.

Conclusion pratique : la première réaction en cas de suspicion d'incident, même légère, doit être un dépôt de plainte de précaution. C'est gratuit, ça démarre le compteur, et ça protège la couverture.

4. NIS2 et le devoir de diligence opposable

La directive européenne NIS2, transposée en droit français par la loi REC d'octobre 2024, a profondément redessiné la cyber-assurance. Pas directement (NIS2 ne dit rien sur l'assurance), mais par effet domino sur les assureurs.

L'article 21 de NIS2 impose aux entités essentielles et importantes des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées ». Le paragraphe énumère ensuite dix domaines obligatoires, dont :

• Politique d'analyse des risques et de sécurité de l'information
• Gestion des incidents
• Continuité d'activité (sauvegardes, gestion de crise, reprise après sinistre)
• Sécurité de la chaîne d'approvisionnement
• Sécurité dans l'acquisition, le développement et la maintenance des SI (incluant la gestion des vulnérabilités)
• Politiques d'évaluation de l'efficacité des mesures de gestion des risques en cybersécurité
• Hygiène cyber de base et formation continue
• Cryptographie
• Sécurité RH, contrôle d'accès, gestion des actifs
• Authentification multifacteur

Le paragraphe sur l'évaluation de l'efficacité est interprété de manière unanime par les juristes spécialisés et l'ANSSI comme exigeant un test d'intrusion régulier et documenté. C'est cette interprétation qui a basculé les contrats d'assurance cyber.

L'effet en cascade sur les assureurs

Les assureurs cyber majeurs ont simplement aligné leur grille de souscription sur les exigences NIS2. Cinq conséquences pour les assurés en 2026 :

1. Les questionnaires de souscription sont passés de 30 questions à 80-150 questions, dont une grande majorité sont calquées sur la liste NIS2.
2. L'absence de mesure exigée par NIS2 est désormais qualifiée par les assureurs de manquement aux obligations légales applicables, donc de négligence.
3. Les plafonds de couverture sont conditionnés à la maturité NIS2 : sans pentest récent, plafond plafonné à 250 K€ ou 500 K€ même si vous avez le budget pour plus.
4. Les franchises sont multipliées par 2 ou 3 pour les assurés qui ne peuvent pas démontrer leur conformité NIS2.
5. Les prises d'effet de couverture sont parfois différées : le contrat prend effet seulement après remédiation des écarts NIS2 constatés.

5. Pourquoi le pentest est devenu le pivot de toute couverture cyber

Sur les 12 contrôles que l'assureur regarde, le pentest occupe une position particulière. Ce n'est pas le plus coûteux à mettre en place. Ce n'est pas le plus visible. Mais c'est le seul qui produit une preuve technique opposable que votre sécurité fonctionne réellement.

Comparons les sept formes principales de preuves de sécurité, selon ce qu'elles démontrent vraiment :

Preuve	Ce qu'elle démontre	Force devant un assureur
Politique de sécurité écrite	Vous avez un document	Faible
Charte informatique signée	Vos collaborateurs sont informés	Faible
Antivirus / EDR déployé	Vous avez l'outil	Moyenne
Sauvegardes effectuées	Vous avez des fichiers de sauvegarde	Moyenne (sans test)
Certification ISO 27001	Vous avez un système de management	Forte (mais théorique)
Audit organisationnel	Vous avez été évalué sur le papier	Forte (mais théorique)
Pentest indépendant	Un attaquant expert n'a pas réussi à compromettre votre SI	Très forte (preuve technique)

Les six premières preuves démontrent que vous avez les choses. Le pentest démontre que vos choses fonctionnent. C'est cette différence qui le rend irremplaçable.

6. Les avantages du pentest pour la souscription

Faire un pentest avant de souscrire ou renouveler un contrat cyber-assurance produit des effets immédiats sur votre dossier.

Réduction de prime documentée

Selon les retours du marché 2025-2026 confirmés par plusieurs courtiers spécialisés, un pentest annuel documenté permet une réduction de prime de 10 à 25 % chez les assureurs majeurs (AIG, Allianz, Hiscox, AXA Cyber Assurances, Beazley, Coalition, At-Bay).

Sur une prime de 12 000 € annuelle pour une PME 80 salariés, c'est entre 1 200 € et 3 000 € d'économie. Le pentest qui a coûté 5 000 € se rentabilise en deux à quatre ans uniquement sur la baisse de prime, avant même de parler de l'effet sur l'indemnisation en cas d'incident.

Plafonds de couverture rehaussés

Sans pentest récent, beaucoup d'assureurs plafonnent les contrats PME à 500 K€ ou 1 M€ de couverture. Avec pentest annuel, vous accédez aux plafonds 2 M€, 5 M€ ou plus. Pour une boîte qui traite des données clients sensibles, c'est la différence entre une assurance d'apparence et une assurance utile.

Franchises réduites

Les franchises (la part qui reste à votre charge en cas de sinistre) sont divisées par 2 à 3 chez la plupart des assureurs majeurs pour les assurés ayant un pentest récent. Sur une franchise standard de 25 000 €, c'est 10 000 à 15 000 € de moins à débourser le jour du sinistre.

Délai de couverture immédiat

Sans pentest, certains contrats prévoient un délai de carence (30 à 90 jours) avant la prise d'effet, le temps que l'assureur évalue votre maturité. Avec rapport de pentest joint au dossier, prise d'effet à la date de signature.

Garanties premium accessibles

Certaines garanties (vol de fonds par fraude au président, ingénierie sociale, vol d'identité dirigeants) ne sont accessibles qu'aux assurés ayant un niveau de maturité élevé. Le pentest est l'un des trois critères principaux pour les déclencher.

7. Les avantages du pentest en cas d'incident

Si l'incident arrive malgré tout, le pentest récent change radicalement la nature du dossier d'indemnisation.

Preuve de diligence raisonnable

L'expert forensique de l'assureur ouvre votre dossier et trouve un rapport de pentest de moins de 12 mois, signé par un cabinet ou un consultant indépendant certifié, avec un plan de remédiation tracé. Verdict : diligence prouvée. La négligence grave est exclue d'office du dossier. Indemnisation pleine, sans bataille.

Indemnisation rapide

Sans pentest, l'expertise prend 2 à 6 mois pendant lesquels l'expert vérifie chaque mesure de sécurité. Avec pentest, le périmètre déjà audité est validé en quelques jours. L'indemnisation arrive 60 à 120 jours plus tôt, ce qui peut faire la différence entre maintenir l'activité et déposer le bilan.

Aucun argument de fausse déclaration

Le questionnaire de souscription a une question : « avez-vous réalisé un audit de sécurité au cours des 24 derniers mois ? ». Si vous avez répondu oui sans en avoir, c'est une fausse déclaration qui annule de plein droit la garantie. Le pentest documenté élimine ce risque définitivement.

Vecteur d'attaque hors du périmètre du pentest

Si l'attaque a utilisé un vecteur que votre dernier pentest n'avait pas couvert (exemple : compromission supply chain via un fournisseur SaaS), votre rapport de pentest devient même un argument en votre faveur : il prouve que vous aviez audité tout ce qui était dans votre périmètre direct, et que la cause est externe à votre diligence.

Réduction du chiffrage du sinistre

Un assuré avec pentest récent et plan de remédiation appliqué présente une posture cyber documentée. Le chiffrage des dommages tient compte de cette posture pour estimer le périmètre de l'attaque. Sans pentest, l'assureur applique un facteur de précaution qui augmente le coût supporté par l'assuré.

8. Cinq retex anonymisés : ce qui se passe vraiment quand on n'a pas de pentest

Les cinq cas qui suivent sont anonymisés (taille, secteur et données financières modifiés), basés sur des situations rapportées par des courtiers et des cabinets spécialisés français en 2024-2026. Ils illustrent les pièges concrets.

Cas A : PME industrielle 80 salariés, refus de 480 K€ pour MFA absente

Une PME industrielle francilienne paie une prime cyber de 9 500 € annuelle depuis quatre ans. En février 2026, ransomware par phishing sur un compte commercial. Restauration via sauvegardes (qui marchent), mais perte d'exploitation de 480 K€ sur trois semaines d'arrêt. L'expert forensique constate que la MFA n'était pas activée sur la boîte mail compromise. Refus partiel : 90 % des dommages exclus pour négligence grave. Indemnisation finale : 48 K€ sur les 480 K€ déclarés. Coût d'un pentest qui aurait diagnostiqué le manquement : 5 500 €.

Cas B : ETI logistique 240 salariés, exclusion totale pour sauvegarde corrompue

ETI logistique dans le Sud-Ouest, prime cyber 28 K€ annuelle, plafond 3 M€. En mars 2026, ransomware avec chiffrement des sauvegardes (les sauvegardes étaient connectées au domaine au moment de l'attaque). Restauration impossible, paiement de la rançon en cryptomonnaie : 380 K€ payés. L'expert constate que les sauvegardes n'avaient pas été testées depuis 14 mois et n'étaient pas isolées du réseau de production. Exclusion totale du sinistre pour manquement à la diligence raisonnable. Indemnisation : 0 €. Coût d'un audit qui aurait identifié le défaut de segmentation des sauvegardes : 7 000 €.

Cas C : E-commerce 35 salariés, indemnisation réduite de 50 % pour pentest expiré

Boutique e-commerce de mode dans la région lyonnaise, prime cyber 6 800 € annuelle, plafond 1 M€. En janvier 2026, fuite de 180 000 emails clients par injection SQL sur un formulaire custom. Notifications RGPD massives, perte d'exploitation, premier incident sérieux. Le pentest le plus récent dans le dossier datait de 34 mois auparavant. La clause d'audit < 24 mois était dans le contrat mais l'assuré ne l'avait pas suivie. Indemnisation réduite de 50 %, soit 240 K€ au lieu de 480 K€ déclarés. Coût d'un pentest annuel maintenu à jour : 4 000 € par an.

Cas D : Cabinet médical, refus partiel pour cartographie absente

Cabinet médical de groupe en Côte d'Azur, prime cyber 11 500 € annuelle. En décembre 2025, intrusion via un compte télémaintenance non révoqué d'un ancien prestataire. Exfiltration de dossiers patients. Communication CNIL, notification patients (obligation HDS), audit complet. L'expert constate que le cabinet n'avait pas de cartographie des données sensibles ni d'inventaire des accès tiers. Indemnisation refusée sur la partie « notification patients » (320 K€), maintenue sur la partie forensique (180 K€). Coût d'un audit organisationnel qui aurait produit la cartographie : 4 500 €.

Cas E : Cabinet d'avocats, fausse déclaration et résiliation rétroactive

Cabinet d'avocats parisien 60 collaborateurs, prime cyber 18 000 € annuelle, plafond 2 M€. En février 2026, compromission par phishing ciblé sur un associé. Fuite de pièces de dossiers en cours (responsabilité civile lourde). En enquêtant, l'assureur découvre que le questionnaire de souscription mentionnait un audit annuel et un plan de réponse à incident formalisé qui n'existaient pas. Fausse déclaration intentionnelle : résiliation rétroactive du contrat depuis la souscription (deux ans plus tôt). Indemnisation : 0 €. Et pire : remboursement de 36 K€ d'indemnisation perçue précédemment sur un sinistre antérieur. Coût d'un pentest annuel et d'un plan de réponse à incident formalisé : environ 8 000 € par an.

9. Le calcul : combien tu économises avec un pentest documenté

Faisons l'addition pour une PME française type, 80 salariés, prime cyber 12 000 € annuelle, plafond 1,5 M€.

Sans pentest annuel

Poste	Coût annuel
Prime cyber annuelle	12 000 €
Audit ponctuel pour souscription (tous les 3 ans)	1 500 €
Risque résiduel non couvert (probabilité 5 % × refus moyen 800 K€)	40 000 €
Coût total annualisé	53 500 €

Avec pentest annuel documenté

Poste	Coût annuel
Prime cyber annuelle (réduction 18 %)	9 840 €
Pentest applicatif annuel	5 500 €
Risque résiduel non couvert (probabilité 1 % × refus moyen 200 K€)	2 000 €
Coût total annualisé	17 340 €

Économie nette annuelle : 36 160 €. Soit un retour sur investissement de ×6 sur le pentest. Et c'est sans compter les bénéfices indirects (alertes anticipées, capacité à répondre aux questionnaires de partenaires, signaux de confiance pour les clients, réduction du churn post-incident).

10. Les obligations légales à connaître au-delà de l'assurance

Au-delà des relations avec votre assureur, plusieurs obligations légales convergent vers l'exigence d'un audit de sécurité régulier.

• RGPD (article 32) : impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des données personnelles. La CNIL a explicité dans plusieurs sanctions 2024-2025 que cela inclut un audit régulier pour les responsables de traitement de taille moyenne et plus.
• NIS2 (article 21) : pour les entités essentielles et importantes, évaluation régulière de l'efficacité des mesures (= pentest annuel de fait).
• DORA : pour les acteurs financiers, tests d'intrusion sur les systèmes critiques tous les trois ans minimum, et tests sectoriels coordonnés (TLPT) pour les opérateurs systémiques.
• HDS (hébergement de données de santé) : audit de sécurité annuel obligatoire pour le maintien de l'agrément.
• SecNumCloud : pour les fournisseurs cloud souverain, audit complet et pentest annuel pour le maintien de la qualification.
• Référentiel CNIL pour les sous-traitants RGPD : recommande l'audit régulier comme bonne pratique opposable en cas de contrôle.
• LPM (loi de programmation militaire) : pour les opérateurs d'importance vitale (OIV), audits ANSSI réguliers.

L'assurance n'est qu'un des dispositifs qui converge. Tous les autres demandent la même chose. Le pentest est le seul investissement qui satisfait simultanément tous ces référentiels.

11. Erreurs fréquentes à éviter

Six erreurs reviennent systématiquement chez les PME que je vois.

1. Ne pas lire les exclusions du contrat. Le contrat cyber-assurance fait 40 à 80 pages. Les exclusions sont à la page 30. Beaucoup de dirigeants ne les ont jamais lues. Lecture obligatoire avant chaque renouvellement.
2. Mentir sur le questionnaire de souscription. Tentation de cocher oui partout pour avoir le contrat. C'est le piège du cas E ci-dessus. Mieux vaut être refusé en souscription qu'en indemnisation : ça coûte beaucoup moins cher.
3. Faire un pentest et ne pas appliquer les remédiations. Pire que de ne pas en faire du tout : vous prouvez que vous saviez et que vous n'avez rien fait. Le tribunal qualifie ça de négligence intentionnelle, donc fraude.
4. Garder un pentest périmé. Au-delà de 24 mois, votre rapport ne vaut plus rien pour l'assureur. Le SI a évolué, les menaces aussi. Un rapport de 2024 ne couvre pas 2026.
5. Confondre scan automatique et pentest. Beaucoup de prestataires vendent des scans Nessus ou OpenVAS sous le nom de pentest. L'assureur fait la différence : un scan ne prouve rien sur la logique métier, les escalades de privilèges, les accès aux données. Demandez toujours la méthodologie utilisée (PTES, OSSTMM, OWASP).
6. Ne pas archiver les preuves de remédiation. Le rapport de pentest ne suffit pas : il faut prouver que vous avez fait quelque chose après. Tickets de remédiation, captures de tests post-fix, preuves de patch déployé. Sans cette traçabilité, le pentest devient à charge contre vous.

12. Le pré-audit cyber-assurance HackHeart

Pour répondre exactement à ces enjeux, HackHeart propose une prestation dédiée : le pré-audit cyber-assurance. Elle combine cinq éléments :

• Pentest applicatif et infrastructure ciblé sur les 12 contrôles standards des assureurs majeurs.
• Rapport au format demandé par les principaux assureurs français, prêt à joindre à votre dossier de souscription ou de renouvellement.
• Plan de remédiation chiffré et priorisé, avec tickets directement utilisables par votre IT ou votre prestataire.
• Accompagnement à la rédaction du questionnaire de souscription, pour cocher honnêtement et défendre votre position.
• Suivi de la remédiation à 60 jours, pour produire le dossier complet à votre courtier avant l'échéance du contrat.

Pour aller plus loin, voir nos services sécurité offensive, audit de cybersécurité et vCISO, et nos articles complémentaires sur le coût d'un pentest, le coût d'une cyberattaque quand un DSI refuse un pentest et la conformité NIS2.