← La clairière

La première marche

De qui vous protège-t-on ?

Confidentialité, chiffrement, Apple, Meta et l'ombre de Snowden : une enquête fonction par fonction pour distinguer ce qui est vrai, ce qui est marketing, et contre qui

Publié le 25 juin 2026 · Mis à jour le 12 août 2026

0. Introduction : la mauvaise question

« Est-ce que c’est du bullshit ? » La question revient à chaque scandale, à chaque promesse de confidentialité affichée en lettres géantes, à chaque rappel des révélations d’Edward Snowden en 2013. On la pose en bloc. On attend une réponse en bloc. Le cynisme en bloc est une erreur d’inférence, et le papier sur les preuves qui n’en sont pas en donne la forme. Elle n’en a pas, faute de contenir la variable qui tranche : de qui cherche-t-on à se protéger. La réponse tient dans une carte à trois entrées, la fonction précise, le réglage par défaut et l’adversaire.

La confidentialité se vérifie comme un fait, fonction par fonction, sur trois pièces : l’architecture technique, la cryptographie et le droit. Trois pièces qui se lisent ailleurs que sur une page de publicité : une documentation de sécurité, un protocole publié, un texte de loi. En revanche, une promesse globale couvre tout, donc elle n’engage rien de précis (aucune fonction nommée, aucun adversaire, aucune date).

La scène est banale. Une application affiche, en lettres rassurantes, que votre vie privée compte pour elle, et deux réflexes se présentent : tout gober, ou tout balayer d’un « ils mentent tous ». Aucun des deux ne dit ce qui, dans cette phrase, est vrai pour vous, puisque la phrase tait la fonction qu’elle couvre et l’adversaire dont elle prétend vous séparer. Protéger quoi, de qui, dans quelle situation ? Aucune de ces trois questions n’a de réponse sur la page qui affiche la promesse.

La sécurité informatique a un nom pour cet outil : le modèle de menace. Une protection se juge contre un adversaire désigné, jamais dans l’absolu. L’éventail est large : un annonceur, l’entreprise elle-même, un voleur qui ramasse votre téléphone, votre propre État, un État étranger, un service de renseignement muni d’un mandat.

Ces six-là diffèrent par leurs moyens autant que par leurs droits (le renseignement muni d’un mandat ajoute un droit à ses moyens), et une même serrure ne les arrête pas également. Une fonction efficace contre l’un peut être sans effet contre l’autre, de sorte que répondre « protégé » ou « pas protégé » sans nommer l’adversaire ne dit rien.

Une troisième posture court, plus franche que les deux premières : « je n’ai rien à cacher ». Prise dans sa version faible, elle se balaie d’un haussement d’épaules. Dans sa version forte, elle assume un arbitrage plutôt qu’une naïveté : j’accepte une part d’exposition parce que je fais confiance à l’État de droit, et verrouiller le moindre détail de ma vie ne vaut pas l’effort que cela coûterait.

Elle bute pourtant sur un point de fait : avoir une vie privée ne revient pas à cacher un délit. On ferme la porte des toilettes sans rien dissimuler de coupable, et l’intimité reste un besoin quand on n’a rien à se reprocher. Le tri entre ce qui serait « à cacher » et ce qui serait anodin appartient d’ailleurs à celui qui détient la donnée, et son critère peut différer du vôtre comme changer avec le temps.

La symétrie, elle, coupe dans les deux sens. Qu’une entreprise ait menti ou cédé sur un point ne prouve pas que tout soit faux, et qu’un chiffrement tienne mathématiquement ne prouve pas que vous soyez protégé. L’exigence est de méthode plus que de neutralité, et c’est la même que celle du papier sur le tri des déchets, appliquée à un autre geste ordinaire : elle interdit de conclure d’une faille révélée que tout l’édifice est un décor, et d’une garantie technique réelle que l’utilisateur est à l’abri. Le techno-cynique et l’optimiste publicitaire commettent donc la même erreur, en sens inverse (l’un consent au renoncement, l’autre à l’insouciance).

L’enquête se limite aux promesses grand public d’Apple et de Meta, fonction par fonction, et à leur rapport à l’accès réel par l’entreprise et par l’État. Le guide de sécurité et le détail juridique pays par pays sont laissés dehors (les attaques ciblées par logiciel espion n’entrent ici que pour ce qu’elles éclairent du raisonnement).

Snowden, l’ancien sous-traitant de la NSA dont l’ombre plane sur le sujet, demande d’être situé dans le temps. Ses révélations de 2013 ont exposé une surveillance de masse, et elles ont aussi en partie causé la généralisation du chiffrement qui a suivi, un enchaînement que David Lyon analyse dans Big Data and Society en 2014 (Lyon 2014). Le citer comme preuve que rien n’a bougé serait un anachronisme. Chaque fait d’actualité porte donc ici son année : une phrase exacte en 2013 peut être fausse en 2026.

1. Vendre du matériel, vendre de l’audience

Leurs rapports annuels de 2024 séparent les deux lignes sans ambiguïté (une structure de revenus, rien de plus). Apple tire l’essentiel de ses revenus du matériel et fait de la confidentialité un argument de vente ; Meta vend de la publicité ciblée et vit de l’exploitation des données de ses utilisateurs (Apple ; Meta 2024; Acquisti et al. 2015). Traiter « les GAFAM » comme un bloc homogène efface cette ligne. Deux modèles, deux incitations : chez Apple, protéger la donnée renforce le produit ; chez Meta, la donnée est le produit.

Cette incitation ne fait pourtant pas d’Apple un ange. Elle développe sa propre régie publicitaire, prélève une commission sur l’App Store et demeure une entreprise commerciale dont l’intérêt va à la marge (Apple ; Meta 2024; Acquisti et al. 2015). La confidentialité y est un avantage concurrentiel autant qu’une valeur, et l’un n’exclut pas l’autre. Sur quoi appuyer la lecture, alors : sur des intentions qu’on nous déclare, ou sur des incitations qu’on peut décrire ? Alessandro Acquisti, Curtis Taylor et Liad Wagman tranchent pour les secondes dans The Economics of Privacy, où la vie privée devient un arbitrage économique comme un autre.

Du côté de Meta, le fonctionnement se documente. La Federal Trade Commission a engagé en 2023 une action visant les pratiques de données du groupe (procédure ouverte, issue non tranchée), et Steven Englehardt et Arvind Narayanan en ont mesuré le mécanisme à la conférence ACM CCS en 2016 (Englehardt et Narayanan 2016; Federal Trade Commission (FTC) 2023). Ce qui se vend est l’accès à votre attention, calibré par ce que l’entreprise sait de vous, et le service gratuit en est l’appât. Plus elle en sait, plus cet accès vaut cher (Englehardt et Narayanan 2016; Federal Trade Commission (FTC) 2023). Le mot d’ordre « la donnée est le produit » se lit dans les comptes, ligne de revenu par ligne de revenu.

Le tableau se complique aussitôt, car un groupe n’est pas homogène fonction par fonction. Meta possède WhatsApp, dont le contenu des messages est chiffré de bout en bout, tout en exploitant les métadonnées et les données de Facebook et d’Instagram (WhatsApp 2023; Englehardt et Narayanan 2016). Trois applications, deux régimes. Le même propriétaire offre donc une protection forte du contenu sur un service et un modèle de surveillance publicitaire sur les autres, ce qui interdit de juger Meta d’un seul mot.

Cette grille des incitations vaut mieux qu’un procès d’intention, dans un sens comme dans l’autre. Elle demande seulement de regarder ce que chaque modèle pousse à faire. Une entreprise dont le produit est le matériel a intérêt à ce que la confidentialité soit crédible ; une entreprise dont le produit est l’audience a intérêt à ce que la donnée circule (Apple ; Meta 2024; Acquisti et al. 2015).

Apple d’un côté, Meta de l’autre. Une promesse qui va dans le sens de l’intérêt de celui qui la formule mérite moins de méfiance que celle qui le contrarie (moins de méfiance : elle reste une promesse). Laquelle des deux lisez-vous, la prochaine fois qu’un écran vous parle de votre vie privée ?

2. Le chiffrement de bout en bout : ce que les maths garantissent

Un mot porte toute promesse de confidentialité, et il s’emploie sans être pesé : le chiffrement de bout en bout. Là où il est réellement actif, seuls l’expéditeur et le destinataire peuvent lire le contenu, et le fournisseur du service ne le peut pas. C’est une propriété cryptographique vérifiable, pas une formule publicitaire (Abelson et al. 2015; Cohn-Gordon et al. 2017). Voilà ce qui ruine l’affirmation paresseuse « de toute façon ils ont accès à tout » : pour un contenu correctement chiffré, ils ne l’ont pas, et cela se démontre.

Le mot « vérifiable » fait toute la différence entre une croyance et un constat. Un protocole publié s’étudie. Ses hypothèses sont écrites noir sur blanc, ses faiblesses cherchées au grand jour, et n’importe quel cryptographe peut s’y mettre. En revanche, une garantie qui repose sur la seule parole d’une entreprise, sans spécification ni code consultables, réclame une confiance que rien ne contrôle (Abelson et al. 2015; Cohn-Gordon et al. 2017). Le chiffrement de bout en bout du contenu appartient à la première catégorie, et c’est pour cette raison que « ils ne peuvent pas lire vos messages » peut y être une phrase exacte.

Cette propriété a un périmètre précis. Elle vaut sur iMessage entre appareils Apple, sur le contenu des messages WhatsApp, et sur la Protection avancée des données iCloud lorsqu’elle est activée (trois fonctions nommées, chacune avec sa condition) (Apple 2024b; WhatsApp 2023; Cohn-Gordon et al. 2017). WhatsApp chiffre le contenu avec le protocole Signal, dont Katriel Cohn-Gordon, Cas Cremers, Benjamin Dowling, Luke Garratt et Douglas Stebila ont publié une analyse de sécurité formelle en 2017, au symposium européen de l’IEEE sur la sécurité et la vie privée (Cohn-Gordon et al. 2017; WhatsApp 2023). Cinq chercheurs, un protocole public, une preuve écrite.

Une analyse de ce genre ne déclare pas le système parfait : elle établit qu’à hypothèses écrites, telles propriétés se déduisent, ce qui reste hors de portée d’une page de communication. Une garantie ne vaut que si elle peut être auditée ainsi, hors de la parole de celui qui la formule.

Le cas d’Apple demande une précision technique. Quand la Protection avancée des données est activée, la majorité des catégories iCloud, dont les sauvegardes et les photos, passe en chiffrement de bout en bout. Apple ne détient alors plus les clés et ne peut plus remettre le contenu en clair, y compris sur réquisition (sa propre documentation de 2024 le pose noir sur blanc) (Apple 2024a; Abelson et al. 2015). La promesse est aussi forte que les mathématiques le permettent, et elle couvre alors la sauvegarde entière, photos et historique de messages compris. Le revers, toutefois, tient à ce que cette protection s’active à la main.

Cette précision change la lecture d’un slogan courant. Quand Apple affirme ne pas pouvoir accéder à certaines données, l’affirmation est exacte pour les catégories réellement passées en chiffrement de bout en bout par la Protection avancée, et elle cesse de l’être pour celles qui restent en dehors (Apple 2024a; Abelson et al. 2015). À quelles catégories s’applique celle que vous avez sous les yeux ? La documentation d’Apple les énumère une par une, catégorie par catégorie.

Les étiquettes, elles, se vérifient. Telegram ne chiffre pas de bout en bout par défaut : sa foire aux questions réserve cette protection à un mode optionnel, les discussions secrètes, qu’une conversation ordinaire n’emprunte jamais (le constat porte sur le réglage par défaut ; la solidité du mode secret est une autre question) (Telegram 2024; Cohn-Gordon et al. 2017). Dès lors, une application peut se présenter comme protectrice de la vie privée tout en logeant la fonction dans un menu séparé. L’utilisateur de Telegram croit alors bénéficier d’une garantie que ses échanges ordinaires n’ont jamais reçue (Telegram 2024; Cohn-Gordon et al. 2017).

Le réflexe utile consiste à vérifier ce qui est chiffré par défaut, quand le nom du produit se contente de rassurer. Le chiffrement d’iMessage, lui, ne vaut qu’entre appareils Apple. Un message échangé avec un téléphone non Apple basculait classiquement vers le SMS, qui n’offre aucun chiffrement de bout en bout (Apple 2024b; Cohn-Gordon et al. 2017). La protection dépend donc autant de l’appareil d’en face que du vôtre (un réglage à deux, dont vous ne tenez qu’un bout).

La forme la plus forte du camp de la « vraie protection » mérite d’être citée. Apple présente pour ses traitements d’intelligence artificielle une architecture de calcul confidentiel dans le cloud, Private Cloud Compute, documentée en 2024 et conçue pour qu’aucune donnée personnelle n’y soit accessible, y compris à Apple. L’architecture est partiellement auditable, et sa garantie repose sur des hypothèses de confiance qu’il vaut mieux nommer que subir (Apple 2024d; Abelson et al. 2015). Le mot « partiellement » borne la garantie, et au-delà de cette borne c’est la parole d’Apple qui reprend.

3. Les métadonnées : ce que le chiffrement ne couvre pas

Le chiffrement protège le contenu, et c’est déjà beaucoup. Il laisse dehors les métadonnées, qui restent visibles du fournisseur et des réseaux traversés (Mayer et al. 2016; Abelson et al. 2015). Le message est scellé, l’enveloppe reste lisible. L’opérateur et la messagerie voient l’heure d’envoi, la durée, la fréquence, le lieu approximatif et les deux extrémités de chaque échange, sans jamais en lire une ligne de contenu.

L’enveloppe en dit long. Jonathan Mayer, Patrick Mutchler et John Mitchell ont montré, dans les Proceedings of the National Academy of Sciences en 2016, que les seules métadonnées téléphoniques permettent d’inférer des relations, des activités et des informations sensibles sur une personne, sans jamais toucher au contenu (l’étude porte sur des relevés d’appels, pas sur des messages) (Mayer et al. 2016; Lyon 2014).

Les intéressés eux-mêmes l’ont résumé plus sèchement. Michael Hayden, ancien directeur de la NSA et de la CIA, a déclaré lors d’un débat à l’université Johns Hopkins en 2014 « we kill people based on metadata », nous tuons des gens sur la base de métadonnées (déclaration publique, dont l’attribution exacte reste à vérifier) (Hayden, Michael 2014; Mayer et al. 2016).

Un exemple rend la chose concrète. Sans lire un message, constater qu’un numéro a appelé un centre d’oncologie, puis un laboratoire d’analyses, puis un groupe de soutien dessine déjà un diagnostic ; constater qu’il a appelé chaque nuit, tard, un numéro unique pendant des semaines dessine déjà une relation (Mayer et al. 2016; Lyon 2014). Le contenu n’ajoute presque rien à ce que la carte des appels a déjà livré, et c’est bien pour cela que Mayer et ses coauteurs ont pu conclure sur des relevés seuls.

Même les messageries chiffrées de bout en bout voient ou conservent des métadonnées : numéro de téléphone, carnet de contacts, horodatage, adresses réseau, en quantité variable selon le service (WhatsApp 2023; Mayer et al. 2016). Le livre blanc de WhatsApp de 2023 documente le chiffrement du contenu par le protocole Signal, et s’arrête au contenu. L’écart se décide dans l’architecture, là où la promesse affichée ne décide de rien. Ce qu’un service retient va d’un carnet d’adresses complet à presque rien, sans qu’aucun n’efface la trace même de la communication (WhatsApp 2023; Mayer et al. 2016).

Une confusion fréquente sépare mal le contenu des autres données. La promesse « nous ne lisons pas vos messages » peut être vraie au pied de la lettre pour le contenu chiffré, pendant que l’entreprise exploite abondamment tout ce qui l’entoure, qui parle à qui, quand, d’où, combien de fois. C’est une distinction à tenir, et non une contradiction à dénoncer. Qu’est-ce qui, dans votre usage, relève du message, et qu’est-ce qui relève de l’enveloppe ?

Une autre voie d’accès passe par le bas, en s’attaquant à l’appareil. Le chiffrement de bout en bout protège les communications en transit, et il ne protège pas contre un logiciel espion qui compromet le terminal : Pegasus, documenté par les rapports du Citizen Lab en 2021 (des enquêtes sur des cas identifiés, sans mesure de prévalence), lit le contenu après déchiffrement, sur le téléphone (Citizen Lab 2021; Abelson et al. 2015).

L’adversaire a changé de nature. Contre un fournisseur qui voudrait lire vos messages en masse, le chiffrement de bout en bout reste efficace. En revanche, contre un attaquant installé dans le téléphone, il ne protège plus, puisque le contenu y est lu sur l’écran même où vous le lisez (Citizen Lab 2021; Abelson et al. 2015). Ce type d’attaque coûte cher, et le Citizen Lab décrivait en 2021 des cibles identifiées une par une.

4. Le piège du réglage par défaut

Une promesse vraie peut protéger peu de monde si elle est désactivée par défaut. Les protections les plus fortes restent en option, la Protection avancée des données en tête, et leur adoption réelle reste faible : la fonction existe, sa couverture est mince (Acquisti et al., s. d.). Alessandro Acquisti, Laura Brandimarte et George Loewenstein l’ont documenté dans le Cambridge Handbook of Consumer Privacy : la grande majorité des utilisateurs ne modifie pas les réglages proposés, et un défaut moins protecteur protège donc moins de monde (la mesure porte sur le comportement des utilisateurs, pas sur les intentions des éditeurs) (Acquisti et al., s. d.).

L’exemple le plus parlant concerne les sauvegardes. Par défaut, Apple détient les clés des sauvegardes iCloud, qui ne passent pas en chiffrement de bout en bout, et peut donc remettre le contenu, messages compris, en réponse à une réquisition légale valide (Apple 2024b, 2024c; Abelson et al. 2015). La conséquence se lit en une ligne : un iMessage chiffré de bout en bout peut redevenir accessible s’il entre dans une sauvegarde iCloud non chiffrée de bout en bout, dont Apple possède la clé (Apple 2024b; Abelson et al. 2015).

Ce pouvoir du réglage par défaut est un levier documenté du design : ce qui est proposé d’emblée reste (Acquisti et al., s. d.). Où est rangée, sur votre téléphone, la protection qui vous concerne ? Une entreprise qui loge sa fonction la plus forte derrière plusieurs menus et un avertissement peut afficher une promesse exacte tout en sachant qu’elle sera peu activée. La sincérité d’une fonction se juge donc aussi à la place qu’on lui réserve dans les réglages (un sous-menu et un écran d’accueil ne coûtent pas le même effort).

Le même piège vaut au-delà d’Apple. Les sauvegardes de conversations WhatsApp vers un cloud tiers n’ont longtemps pas été chiffrées de bout en bout, et leur chiffrement est devenu une option à activer, décrite dans le livre blanc de 2023 (WhatsApp 2023; Abelson et al. 2015). Le maillon faible se trouve du côté de la sauvegarde plus que du côté de la messagerie (la sauvegarde suit le message, elle ne suit pas sa protection).

5. La couche étatique : Snowden, et ce qui a changé depuis

L’adversaire que la cryptographie ne suffit pas à écarter, c’est l’État. Le programme PRISM, révélé en 2013, permettait au renseignement américain d’obtenir des données auprès de grands fournisseurs sous contrainte légale, en s’appuyant sur l’article 702 du FISA, qui autorise la collecte ciblant des personnes non américaines à l’étranger ; le Privacy and Civil Liberties Oversight Board en a publié son évaluation officielle en 2014 (une autorité de contrôle américaine, saisie du programme lui-même) (Privacy and Civil Liberties Oversight Board (PCLOB) 2014; Lyon 2014). Le cadre n’a rien d’un vestige. Le Congrès américain a réautorisé l’article 702 en 2024 (Congres des Etats-Unis 2024; Lyon 2014).

L’arsenal légal s’est élargi. Le CLOUD Act, voté en 2018, permet aux autorités américaines d’exiger d’un fournisseur des données qu’il contrôle même lorsqu’elles sont stockées hors des États-Unis (Congres des Etats-Unis 2018; Lyon 2014). En outre, les lettres de sécurité nationale permettent au FBI d’exiger certaines données d’abonnés sans mandat judiciaire préalable, assorties le plus souvent d’une interdiction d’en parler qui limite la transparence des entreprises, comme le documente l’Electronic Frontier Foundation en 2023 (Electronic Frontier Foundation 2023; Lyon 2014).

Ici, la couche technique et la couche légale se rejoignent. Le chiffrement de bout en bout limite ce qui peut être contraint, puisqu’un fournisseur ne peut pas remettre un contenu qu’il ne peut pas lire. Sous le terme « going dark », des États poussent depuis des années à obtenir un accès exceptionnel ou une porte dérobée, au nom de la sécurité publique (Abelson et al. 2015).

Quinze cryptographes, parmi lesquels Harold Abelson, Whitfield Diffie, Ronald Rivest et Bruce Schneier, ont répondu en 2015 dans le Journal of Cybersecurity, sous le titre Keys Under Doormats : il n’existe pas de porte dérobée sûre réservée aux autorités, et tout accès exceptionnel introduit une vulnérabilité exploitable par d’autres (Abelson et al. 2015, 2024).

L’argument est technique avant d’être politique. Une porte dérobée est une faiblesse délibérément introduite, et une faiblesse ne choisit pas qui l’emprunte. La clé prévue pour les autorités peut être volée, copiée, ou exigée demain par un autre gouvernement. Affaiblir le chiffrement pour atteindre les criminels l’affaiblit du même coup pour les journalistes, les dissidents et les citoyens ordinaires (Abelson et al. 2015, 2024). Lesquels, dans cette liste, accepteriez-vous d’exposer pour atteindre les premiers ? Le choix se pose donc entre un chiffrement solide pour tous et un chiffrement fragile pour tous, sans terme intermédiaire.

L’actualité récente montre cette bataille en grandeur réelle. En janvier 2025, le Royaume-Uni a notifié à Apple, par un ordre secret pris au titre de l’Investigatory Powers Act, une exigence d’accès aux données iCloud chiffrées. Apple a retiré le mois suivant la Protection avancée des données pour ses utilisateurs britanniques, refusant d’y insérer une porte dérobée. La demande a été abandonnée en août 2025 sous la pression diplomatique américaine, puis reformulée en octobre de la même année (le dossier reste ouvert) (Electronic Frontier Foundation ; Apple 2025; Abelson et al. 2015).

Du côté européen, le projet de règlement de détection des contenus pédocriminels, dit « chat control », a longtemps prévu une analyse côté client des messages. Sous la pression d’experts et d’États membres, l’obligation de scanner les messages chiffrés a été retirée des versions récentes du texte, au profit d’un régime volontaire qui arrive lui-même à expiration en avril 2026, le débat se poursuivant sur d’autres points comme la vérification d’âge (Electronic Frontier Foundation 2026; Abelson et al. 2024). Apple elle-même avait annoncé en 2021 un dispositif d’analyse côté client des photos, avant de l’abandonner en 2022 face aux critiques (Apple 2022; Abelson et al. 2024).

Ces épisodes tournent autour d’une même technique. L’analyse côté client scanne le contenu sur l’appareil, avant son chiffrement, et contourne ainsi la promesse du chiffrement de bout en bout : quatorze spécialistes, dont onze avaient signé le texte de 2015, ont montré sous le titre Bugs in Our Pockets qu’elle crée un mécanisme de surveillance généralisable et détournable (Abelson et al. 2024, 2015). Une distinction de précision s’impose toutefois. L’accès légal ciblé, où une entreprise répond à une réquisition valide pour des données qu’elle peut lire, ne se confond pas avec la surveillance de masse.

Deux faits achèvent de situer le réel. Des courtiers en données agrègent et revendent des données de localisation et de comportement collectées par des applications tierces, un canal que ni le chiffrement ni la Protection avancée ne couvrent (Englehardt et Narayanan 2016). Les rapports de transparence publiés par Apple et par Meta en 2024 comptent, eux, des dizaines de milliers de demandes légales traitées chaque année pour les données que ces entreprises peuvent fournir : la promesse de confidentialité ne supprime pas l’accès légal à ce qui n’est pas chiffré de bout en bout (Apple 2024c; Meta 2024; Lyon 2014).

Ces faits referment la boucle entre la technique et le droit. Tant qu’une donnée reste lisible par le fournisseur, elle reste atteignable par une demande légale, et c’est exactement ce que le chiffrement de bout en bout soustrait à la contrainte. La couche étatique épouse donc les contours de la couche cryptographique. Chez Apple, la frontière passe entre la sauvegarde iCloud par défaut et la Protection avancée (une case à cocher, et l’État change de côté).

6. Le pistage restreint : une protection réelle et intéressée

Les protections qui marchent méritent d’être nommées, et l’une des plus visibles vient d’Apple. La fonction App Tracking Transparency, qui exige le consentement explicite au suivi entre applications, a réduit le pistage publicitaire et notablement diminué les revenus publicitaires de Meta ; Konrad Kollnig, Anastasia Shuba, Max Van Kleek, Reuben Binns et Nigel Shadbolt l’ont mesuré en 2022 (relevé fait sur des applications iOS) (Kollnig et al. 2022). Combien de fois avez-vous vu passer cette demande de consentement, et combien de fois l’avez-vous accordée ?

Le scepticisme reste symétrique. En restreignant le pistage tiers tout en développant sa propre régie publicitaire, Apple sert aussi un intérêt commercial, et sa fonction de protection n’a rien d’un acte désintéressé (Kollnig et al. 2022). La protection est par ailleurs partielle : la restriction des identifiants n’a pas fait disparaître le pistage, l’industrie publicitaire s’étant en partie reportée sur l’empreinte d’appareil et sur des mesures agrégées (Kollnig et al. 2022; Englehardt et Narayanan 2016). Une même fonction peut donc servir l’utilisateur et léser un concurrent dans le même geste (Kollnig et al. 2022). Apple a rendu un vrai service à ses utilisateurs et un mauvais service à Meta d’un seul mouvement, et reconnaître le premier n’oblige pas à nier le second.

7. La carte, ses trois entrées et ses angles morts

Une même fonction reçoit deux réponses opposées selon la colonne où l’on se place. Le chiffrement de bout en bout d’iMessage protège contre un voleur de téléphone ou un annonceur, et il ne protège pas contre une réquisition portant sur une sauvegarde iCloud non chiffrée, ni contre un logiciel espion installé sur l’appareil. Le voleur et l’annonceur d’un côté, la réquisition et Pegasus de l’autre, pour une seule et même fonction.

La réponse tient dans trois entrées. Par fonction, ce qui est réellement chiffré de bout en bout ; par réglage, ce qui est activé d’office ou laissé en option ; par adversaire, de qui l’on cherche à se protéger. Appliquée aux deux récits qui s’affrontent, la symétrie rend un verdict partagé : le chiffrement de bout en bout réel n’a rien du marketing, et les métadonnées, les défauts et l’accès légal subsistent. Les deux verdicts d’humeur tombent donc ensemble : « tout est du bullshit » est faux, et « vous êtes protégés » l’est tout autant.

Cette carte est la forme exacte de la réponse, et non une esquive prudente. Pour une fonction, on peut dire ce qui est chiffré et ce qui ne l’est pas ; pour un réglage, s’il protège d’office ou sur démarche volontaire ; pour un adversaire, si la fonction tient ou cède. Laquelle de ces trois cases, dans votre cas, est encore vide ? Les trois remplies, la question initiale reçoit une réponse précise, rassurante sur un point et inquiétante sur un autre (la carte vaut pour Apple et Meta, les seuls examinés ici).

Une part des promesses de confidentialité relève de la survente. Des formules larges du type « votre vie privée est notre priorité » laissent croire à une protection générale là où elle est bornée par la fonction et par l’adversaire, et cela vaut la peine de les distinguer des garanties techniques vérifiables. Devant une telle formule, la seule chose à lui demander est de quelle fonction et de quel adversaire elle parle, ce qu’elle ne précise presque jamais d’elle-même.

8. Ce qu’on peut faire de cette carte

Avant de croire ou de rejeter une promesse de confidentialité, trois questions suffisent : de qui voulez-vous vous protéger, sur quelle fonction précise, avec quel réglage. Activez les options fortes, chiffrement des sauvegardes et Protection avancée, quand l’adversaire le justifie, et n’attendez pas du chiffrement qu’il couvre ce qui lui échappe. Les trois réponses transforment un slogan invérifiable en énoncé que l’on peut confronter à la documentation du service.

Les gestes se règlent sur l’adversaire. Contre lequel des six vous protégez-vous vraiment ? Contre un vol de téléphone ou un annonceur, le chiffrement par défaut et un code correct suffisent. Contre une réquisition ou un acteur déterminé, activer la Protection avancée et le chiffrement des sauvegardes change la donne. Dans tous les cas, ne demandez pas au chiffrement de couvrir ce qu’il ne couvre pas, les métadonnées ou un appareil compromis (la liste vise un usage ordinaire ; une cible désignée relève d’un autre dossier).

La question cesse d’être « est-ce que c’est du bullshit » pour devenir « de qui me protège cette fonction précise, avec ce réglage ». La réponse prend la forme d’une carte, moins satisfaisante qu’un cri du cœur dans un sens ou dans l’autre, et c’est la seule échelle à laquelle elle est vraie.

Le coût du déplacement est le renoncement à un jugement tranché, « tous pourris » comme « tout va bien », au profit d’une réponse qui change d’une fonction à l’autre. La récompense est de pouvoir agir : choisir ses outils, activer les bons réglages, accorder sa confiance à la mesure de ce qui est vérifiable, et la retirer là où elle ne l’est pas.

Bibliographie