Comment votre opérateur suit votre activité en ligne sans avoir besoin de lire vos messages
Chaque connexion à Internet passe par le réseau d’un fournisseur d’accès comme Orange, Free, SFR ou Bouygues Telecom. Le protocole HTTPS, désormais généralisé sur le Web, chiffre le contenu échangé entre votre appareil et les sites consultés, y compris lorsqu’il transite par le FAI. Il ne masque pas pour autant toutes les informations.
Lorsqu’il est question de surveillance en ligne et de données personnelles, les regards se tournent souvent vers les réseaux sociaux. Encore plus maintenant que la France a adopté une loi sur la vérification d’âge dans le but d’écarter les moins de 15 ans. Ce contrôle renforce encore les inquiétudes.
Les moteurs de recherche et les cookies publicitaires sont également pointés du doigt. Les fournisseurs d’accès sont quant à eux moins souvent cités, alors que tout le trafic de leurs abonnés passe par leurs réseaux. Ils ont ainsi accès à de nombreuses données et doivent même en conserver certaines pendant une durée définie par la loi.
Votre FAI doit conserver une partie de vos données pendant un an
Ce que peut voir un opérateur ne relève donc pas seulement d’une question technique : c’est aussi une obligation légale. En France, les FAI doivent conserver pendant un an les informations permettant d’identifier l’origine d’une connexion, notamment l’adresse IP attribuée à l’internaute et le port associé. Certaines données de trafic, comme la date, l’heure et la durée des communications, peuvent également être gardées jusqu’à un an pour les besoins de la facturation.
Leur conservation généralisée est toutefois plus encadrée. Elle peut être imposée temporairement en cas de menace grave pour la sécurité nationale. Une conservation ciblée peut aussi être demandée dans le cadre d’une enquête. Le contenu des échanges n’est pas concerné.
Jusqu’où votre FAI peut suivre votre activité
Votre fournisseur d’accès se trouve entre vos appareils et les services auxquels vous vous connectez. Pour acheminer le trafic, il a besoin de l’adresse IP attribuée à votre connexion et celles des serveurs qu’il doit contacter. Il peut ainsi en déduire les sites que vous visitez, les applications que vous utilisez, et ce, même s’il ne voit pas ce que vous y faites précisément.
Les requêtes DNS sont un autre moyen d’obtenir des informations sensibles. Elles servent à convertir un nom de domaine en adresse IP et passent souvent par les serveurs du FAI. Celui-ci peut alors savoir que vous avez demandé à accéder à youtube.com ou facebook.com, par exemple.
Les opérateurs ont également accès à d’autres métadonnées. Il s’agit notamment des horaires de connexion, de la durée de ces connexions, ou encore du volume de données échangées. Sur mobile, les antennes auxquelles le téléphone se connecte permettent aussi d’estimer sa position.
En résumé, votre fournisseur d’accès peut voir :
- L’adresse IP attribuée à votre connexion ;
- Les adresses IP des serveurs contactés ;
- Les noms de domaine demandés si le DNS n’est pas chiffré ;
- L’heure et la durée des connexions ;
- Le volume et le rythme des données échangées ;
- Sur mobile : les antennes utilisées et une estimation de votre position ;
En revanche, grâce à HTTPS, le FAI ne peut normalement pas lire vos messages, vos mots de passe, les informations que vous envoyez via un formulaire ou la page précise que vous consultez. Il peut certes voir le nom de domaine, mais pas la page exacte.
Comment vos métadonnées dévoilent vos habitudes
Une adresse IP, un horaire ou un volume de données paraît peu révélateur lorsqu’il est considéré séparément. Le rapprochement de ces informations sur plusieurs jours ou plusieurs semaines donne toutefois un aperçu plus précis de vos usages.
Un important volume de données en continu peut correspondre à du streaming, tandis que des connexions régulières aux mêmes serveurs signalent l’utilisation fréquente d’un service. Les périodes d’activité et d’inactivité peuvent aussi indiquer les horaires de présence dans votre logement. L’opérateur n’a certes pas accès au contenu s’il est en HTTPS, mais il peut repérer certains comportements.
La Federal Trade Commission américaine a étudié en 2021 les pratiques de six grands fournisseurs d’accès. Son rapport montre que certains rapprochaient les données de connexion d’informations provenant de la téléphonie, de la télévision, de services publicitaires ou de courtiers en données. Ces croisements permettaient d’obtenir un profil plus complet du client et de le classer dans différentes catégories publicitaires.
Ce qu’un VPN empêche votre opérateur de voir
Un VPN crée un tunnel chiffré entre votre appareil et un serveur intermédiaire. Tout votre trafic passe d’abord par ce serveur, qui se charge ensuite de communiquer avec les sites et les applications que vous utilisez.
Votre FAI ne voit donc plus les adresses IP des services que vous utilisez, ni les requêtes DNS lorsqu’elles passent correctement par le tunnel. Il sait toutefois que vous utilisez un VPN et continue d’observer les horaires ainsi que le volume des échanges, mais il ne peut plus déterminer si les données proviennent de YouTube, Netflix ou d’un autre service.
Cela réduit considérablement les possibilités de profilage, mais cette protection implique que vous fassiez confiance au fournisseur du VPN. Il est donc important de choisir un service crédible en examinant notamment sa politique de conservation des journaux.
Proton VPN applique par exemple une politique de non-journalisation, auditée chaque année par des experts indépendants. Son siège est par ailleurs basé à Genève, en Suisse, où la législation n’impose pas aux fournisseurs de VPN de conserver un historique des connexions de leurs utilisateurs.
Pour limiter les possibilités de surveillance, HTTPS constitue donc la première protection. Il chiffre le contenu de vos échanges, tandis qu’un DNS sécurisé masque les noms de domaine demandés. Le VPN va plus loin en empêchant également le FAI de connaître les destinations finales de votre trafic.
Contenu proposé en collaboration avec Proton VPN.
