Les services de suppression ne se valent pas : ce qu’un expert en sécurité change

01Même étiquette, métiers très différents

Le règlement sur les services numériques (DSA) impose aux hébergeurs de mettre en place des mécanismes permettant à tout particulier ou à toute entité de leur signaler un contenu qu’il estime illicite. Aucune qualification n’est exigée de la personne qui signale. Une société créée aujourd’hui peut proposer des suppressions dès demain.

La conséquence ne se voit pas au premier rendez-vous. Tout le monde est aimable, tout le monde dit que c’est possible. L’écart apparaît quelques semaines plus tard : la vidéo prétendument supprimée revient sous une autre adresse, le nom ressort toujours dans les résultats, ou l’on vous répond seulement « en cours de traitement », sans liste de ce qui a réellement disparu.

Deux prestataires peuvent dire honnêtement qu’ils signalent des contenus. L’un tape votre nom dans Google et signale ce qu’il trouve. L’autre reconstitue la diffusion à partir des images, des empreintes et de l’infrastructure des sites, choisit pour chaque plateforme le fondement qui tient, puis revérifie chaque adresse. Ce qui compte pour vous, c’est de savoir lequel des deux vous avez en face.

02C’est la méthode qui fait l’écart

Quatre questions séparent les prestataires : comment on trouve, comment on signale, comment on confirme le retrait, comment on repère les remises en ligne. Si tout repose sur le travail manuel, chaque adresse de plus crée un risque d’oubli. Si c’est construit comme une chaîne, mille adresses sont traitées selon les mêmes critères que dix.

Dans la colonne de droite, il n’y a pas moins d’humains : ils travaillent ailleurs. La répétition revient au programme, les décisions restent humaines : s’agit-il vraiment de vous, et quel fondement tient sur cette plateforme.

03Comment les diffuseurs se cachent

Ceux qui diffusent des images intimes volées ou des contenus de dénigrement sont rarement maladroits. La même vidéo est déposée sur plusieurs sites miroirs, le serveur est caché derrière un réseau de diffusion de contenu (CDN), et après un signalement le site rouvre sous un nouveau nom de domaine. Les titres changent, les images sont recadrées pour échapper à la recherche par nom.

C’est là que l’expérience de la sécurité informatique sert. Le fondateur de SARAZIM LLC vient de Palo Alto Networks, une entreprise de sécurité réseau. Quand on a passé des années à suivre la façon dont un attaquant entre et efface ses traces, on lit un site à l’envers : où il est hébergé, qui fait transiter son trafic, qui gère son domaine.

Sur le terrain, la différence se voit quand ça bloque. Si un site étranger ne répond pas, le travail manuel s’arrête et l’on vous dit que « c’est un site étranger ». L’approche sécurité suit le site jusqu’à son infrastructure et y cherche le prochain interlocuteur compétent. Un CDN ne supprime en général rien, puisqu’il ne stocke pas le contenu ; son intérêt est de faire arriver la plainte chez le véritable hébergeur.

04Cinq certifications : ce qu’elles exigent

Le fondateur de SARAZIM LLC détient cinq certifications internationales en sécurité : CISSP, CISM, CEH, OSCP et GIAC GASAE. Rien à voir avec les badges que des sociétés d’e-réputation se décernent entre elles. Elles sont délivrées par des organismes de la sécurité informatique et supposent soit une expérience professionnelle prouvée, soit un examen surveillé, pratique dans le cas de l’OSCP.

Pour le CISSP et le CISM, réussir l’examen ne suffit pas. L’expérience doit être prouvée ; pour le CISSP, elle doit en plus être attestée par une personne déjà certifiée ou, à défaut, par ISC2 elle-même sur justificatif d’emploi. Le CEH et l’OSCP évaluent l’autre camp : comment travaille un attaquant. L’OSCP n’a pas de QCM ; on attaque pendant presque une journée entière de vrais systèmes d’examen, puis on documente chaque étape.

05Ce qu’une certification change au retrait

Disons-le franchement : aucune certification ne supprime une vidéo. Une plateforme retire un contenu en fonction du fondement et des preuves de chaque notification. Les certifications disent quelque chose de la personne qui conçoit le travail, pas du résultat d’un dossier précis.

Les certifications de management montrent qu’on a appris à traiter des données confidentielles et à piloter des risques. Les certifications offensives montrent qu’on sait lire les structures où se cachent les diffuseurs. C’est quand un système de signalement développé en interne s’appuie sur cette base que l’écart devient mesurable, en vitesse comme en précision.

06Protéger vos données fait partie du travail

En confiant un dossier à un prestataire, vous remettez ce que vous avez de plus sensible : des photos de votre visage, les adresses des contenus, vos nom et numéro, parfois tout l’historique. Certains demandent même la vidéo d’origine. Rares sont ceux qui expliquent où ces données sont conservées et quand elles sont effacées.

Pour quelqu’un qui vient de la sécurité, ce n’est pas un détail. SARAZIM LLC ne reçoit pas de vidéos. La recherche se fait par reconnaissance faciale à partir de deux ou trois photos ; les contenus eux-mêmes ne sont pas conservés, seules les métadonnées et les empreintes nécessaires à la comparaison sont enregistrées. Celui qui doit arrêter une fuite ne doit pas en créer une nouvelle.

071 000 adresses : à la main ou par programme

Le signalement manuel se déroule ainsi : chercher l’adresse, trouver le formulaire sur le site, saisir le nom et le motif, faire une capture d’écran, envoyer, passer à l’adresse suivante. Chaque plateforme a son propre formulaire, si bien que l’habitude ne fait guère gagner de temps. Pour 1 000 adresses, cela représente en pratique environ une semaine de travail pour une personne.

Le temps n’est pas le seul problème. À répéter mille fois le même geste, on se trompe : une adresse sautée, un mauvais motif, une preuve oubliée. Et pendant cette semaine, le contenu continue de circuler. Quand les mille premières adresses sont signalées, de nouvelles occurrences se sont souvent déjà accumulées.

SARAZIM LLC travaille avec un système de signalement automatisé développé par son fondateur. Pour des publications malveillantes, il peut déposer de 800 à plus de 1 000 signalements par heure. Le système enchaîne recherche, tri, classement, rédaction, dépôt et vérification selon des règles fixes. Les humains tranchent ce qu’une machine ne doit pas trancher.

08La précision avant la vitesse

Automatiser ne veut pas dire envoyer mille fois le même signalement. Ce serait le plus sûr moyen d’échouer. Le DSA impose aux plateformes en ligne de suspendre, pendant une période raisonnable et après avertissement, le traitement des notifications de ceux qui soumettent fréquemment des notifications manifestement infondées.

Selon le DSA, une notification solide contient une explication suffisamment étayée, l’URL exacte, le nom et l’adresse électronique de l’auteur, et une déclaration de bonne foi sur l’exactitude des informations. C’est pourquoi le système de SARAZIM LLC est conçu pour la précision : l’identité est confirmée par un humain, le fondement est choisi plateforme par plateforme, et le dépôt passe par les procédures propres à chaque plateforme.

En cas de refus, une plateforme en ligne doit, selon le DSA, offrir pendant au moins six mois un système interne de réclamation gratuit et électronique. Un prestataire sérieux utilise cette voie avec une motivation améliorée plutôt que de renvoyer la même notification. C’est de cette méthode que découle le taux de suppression publié de 98,2 %.

09Les remises en ligne, surveillées en continu

Le retrait ne clôt pas le dossier. Une vidéo qui a circulé se trouve déjà sur d’autres téléphones et d’autres serveurs, et réapparaît quelques semaines plus tard à une nouvelle adresse. Avec un travail manuel, vous l’apprenez quand vous la retrouvez vous-même et rappelez le prestataire. Elle a alors déjà recommencé à circuler.

SARAZIM LLC conserve l’empreinte du premier fichier trouvé et le profil facial, puis recherche à chaque cycle si le même fichier ou le même visage réapparaît. Un humain ne peut pas chercher tous les jours, un programme si. Les versions recadrées ou réencodées sont retrouvées par la reconnaissance faciale même quand l’empreinte ne correspond plus.

Côté recherche Google, il existe un complément : pour les demandes de suppression d’images à caractère sexuel, Google indique faire de son mieux pour trouver et supprimer aussi les doublons dans la recherche. Le contenu, lui, peut rester en ligne sur le site. Le signalement à la source reste donc indispensable.

10Cinq questions à poser à un prestataire

La publicité ne montre pas la différence. Posez ces questions au premier échange. Les réponses suffisent à voir s’il y a derrière l’offre du travail manuel ou une méthode construite.

Méfiez-vous de ceux qui promettent que « tout est possible » ou « 100 % de suppression » sans savoir expliquer comment. C’est la plateforme qui décide du retrait. Un prestataire honnête commence par dire ce qui est réaliste et ce qui ne l’est pas.

Où s’arrête le prestataire, où commence l’avocat

La loi française interdit de donner, à titre habituel et rémunéré, des consultations juridiques ou de rédiger des actes pour autrui sans remplir les conditions qu’elle fixe ; c’est le terrain des avocats et de quelques professions réglementées. Mise en demeure, analyse du caractère diffamatoire d’un propos dans votre cas, action en justice : c’est le rôle d’un avocat. SARAZIM LLC n’est pas un cabinet d’avocats.

Retrouver la diffusion, signaler par les procédures des plateformes, remonter la chaîne hébergeur, CDN et bureau d’enregistrement, surveiller ensuite : c’est le travail de SARAZIM LLC, avec en moyenne plus de 52 142 suppressions par mois, plus de 914 plateformes couvertes et un taux de suppression publié de 98,2 %.