Les histoires de hacking et les diverses mésaventures vécues ou entendues, nous invitent à la vigilance : consulter, acheter, ouvrir un compte sur un site peut vite engendrer des problèmes. Comment savoir si un site Internet est sûr ? Voici un inventaire non exhaustif pour aller de la simple vérification à un examen exigeant selon vos besoins.
Tous les sites n’ont pas de « mauvaises intentions »
Comme tout le monde peut créer un site, les connaissances en matière de sécurité et de législation varient.
Certains auteurs de site ou web-masters commettent des erreurs, des imprudences techniques : ils exposent la sécurité de leur propre site et par voie de conséquence, peuvent exposer celle de leurs visiteurs.
Un certain nombre de blogueurs utilisent des plateformes qui stockent les données personnelles à l’étranger (hors Union Européenne) et oublient de vous le dire. Un nombre conséquent de sites qui vous invitent à vous abonner à leur lettre de diffusion protègent mal les données qu’ils recueillent.
Des sites commerçants peuvent poser des difficultés en ne garantissant pas la sécurisation des données ou en ne permettant pas leur suppression directe.
Les uns utilisent des outils obsolètes, les autres ne connaissent pas la réglementation (ou font mine de ne pas la connaître)… Tout en la respectant, certains peuvent prélever de nombreuses données, imposent des outils de suivi. Nombre de sites sont « énergivores » et peu respectueux de l’environnement. D’autres sont des passerelles au service des géants du Web.
Certains sites de plus en plus rares, manquant parfois de moyens et relevant du monde associatif, pensent qu’il suffit d’utiliser des logiciels libres pour être protégé. C’est loin d’être si simple !
Que faut-il vérifier ?
Selon les besoins et le site, la vérification ne sera pas du même ordre. S’il s’agit de consulter un site de poésie, je ne ferai pas les mêmes contrôles que pour un site où je souhaite passer commande ou si je souhaite ouvrir un compte sur une plateforme de messagerie.
S’il s’agit de vérifier la validité des informations diffusées, mon approche sera encore différente.
Aide mémoire
Je vérifie l’adresse :
- je ne clique pas sur un lien reçu par mail sauf si je connais et peux vérifier vraiment l’auteur du mail (le lien peut-être différent de l’adresse affichée dans mon message, un clic droit permet en général de le vérifier)
- trouve-t-on le cadenas à gauche de l’adresse URL (dans la barre) prouvant que le site possède un certificat SSL ?
- l’orthographe du site est-elle correcte ? (vérifier les noms de domaines, les imitations d’adresses… parfois une lettre est inversée, un 0 est utilisé à la place d’un O etc.)
Je vérifie la légitimité du site
- voit-on une page contact ? une page « à propos » ?
- trouve-t-on une page avec la politique de confidentialité précisant qui est l’auteur du site ? Voit-on dans quel pays le site est hébergé ?
C’est toujours mieux si le site propose une adresse professionnelle (pas juste un .gmail), si on trouve les mentions légales (adresse de l’hébergeur), pour les commerces un SIRET…
Des sites comme https://www.scamadviser.com/ permettent de donner un score de confiance global.
Attention pour les sites commerciaux aux avis trop élogieux. Des conseils sont donnés sur le site du ministère des finances pour tout ce qui concerne les achats en ligne (dont la question des modalités de paiement).
D’une façon générale, un petit tour sur le site permet aussi de voir s’il a été actualisé récemment, s’il semble « propre » avec des contenus dont les auteurs sont identifiables…
Une extension permet de vérifier si le site n’a pas été généré par l’intelligence artificielle. Alerte sites GEN IA
Je vérifie les cookies et leur gestion
Ce site est sans cookie. C’est aujourd’hui possible de proposer un site qui ne piste personne.
Cookie Quick Manager est une extension qui permet de repérer les cookies d’un site. Un navigateur comme Firefox permet de faciliter la sécurisation de la navigation en utilisant si besoin des extensions de blocage. Certains sites veulent imposer des cookies dits « légitimes » ou d’autres ne sont pas clairs dans leurs formulations. J’ai tendance à rejeter les sites qui abusent de cookies, qui ne me permettent pas de les refuser simplement ou de revenir sur un choix antérieur.
Les sites qui permettent de partager directement vers les réseaux sociaux comme X, Facebook… vous font souvent collecter des cookies liés à ces réseaux. De même que l’intégration de vidéos YouTube dans le site vous fait récupérer les cookies de YouTube.
Pour chaque cookie on doit pouvoir savoir combien de temps il est conservé.
Je vérifie les données recueillies à l’ouverture d’un compte et la possibilité de les supprimer directement
- me demande-t-on des renseignements qui dépassent l’objet du site ?
- me dit-on ce qu’il est fait de ces informations ?
- une case ou une rubrique facile de suppression est-elle proposée ? (les réseaux sociaux commerciaux sont connus pour complexifier cette suppression et tenter de vous retenir, ce sont des pratiques abusives à mes yeux.)
Certains sites manquent de rigueur : la suppression du compte chez mon commerçant d’aliments pour animaux s’est bien faite. Mais malgré ses affirmations de suppression totale des données, il a continué de m’envoyer une lettre publicitaire de diffusion. Preuve que les données restent souvent conservées à notre insu avec risques de partages (par exemple ici de mon numéro de téléphone)
Le site est-il vraiment sécurisé ?
Si je dois ouvrir un compte par exemple sur un site proposant un service de messagerie, j’aime regarder la façon dont il se protège et me protège.
C’est au passage un problème chez nombre de particuliers peu sensibilisés à la question. Un site mal sécurisé, ce n’est pas juste le risque de voir un vol de données… Je me souviens d’un site scolaire qui affichait malgré lui évidemment… de la publicité pour des sites pornographiques ! D’autres ont servi ou servent à des pirates de toutes sortes pour héberger à l’insu de leurs auteurs des fichiers hautement problématiques…
Un test simple est d’entrer l’adresse dans la page SecurityHeaders
Le site est-il écoresponsable ?
Un site qui vous fait des leçons sur l’écologie et le respect de l’environnement et ne s’applique pas à lui-même ce qu’il attend d’autrui, ça laisse rêveur.
J’aime bien vérifier ça par un test rapide de son ÉcoIndex.
Il y a peu on me demandait conseil sur le site d’une agence proposant (pas gratuitement) de créer des sites pour des particuliers ou de petites entreprises : nous n’avons pas été déçus de l’examen ! La vitrine était belle mais c’était un site « lourd » et « passoire »… le contraire de ce qu’il affichait en page d’accueil.
Un petit test rapide sur PageSpeed Insights permet d’évaluer la performance, l’accessibilité, les « bonnes pratiques » ou le SEO.
L’accessibilité est également importante si on souhaite que le site puisse être vu par toutes et tous. Le site Wave permet de la mesurer mais il est surtout destiné aux web-masters.
Éviter, Signaler
Pour ma part j’évite les sites pas clairs, qui abusent de publicité, dont on ne parvient pas à comprendre qui les écrit ni où. Je me désabonne de nombre de lettres de diffusion pour préférer suivre le fil RSS. J’ai quitté les plateformes comme Substack bien qu’intéressante qui récupère les mails et les stocke aux USA.
Si un site pose des problèmes, vous pouvez le contacter. Vous devriez obtenir des réponses rapides… ou pas.
La CNIL manque de moyens mais on peut effectuer des signalements. Il peut être bien parfois de prendre appui sur une association de consommateurs.
Et vous comment procédez-vous ?
Un mot en retour ?