Sur Facebook et Instagram, un accès « restreint » qui ne l’est pas complètement
Le site d’information « BuzzFeed » a démontré qu’il était possible de consulter des images postées en « story » sur Instagram, même après leur disparition. Facebook, propriétaire de l’application, assume.
Même les images publiées sur un compte Instagram privé sont accessibles à tout un chacun... A condition d’en avoir l’adresse. NICOLAS SIX / LE MONDE Avant, sur Facebook, on ne se posait pas trop de questions : lorsqu’on voulait partager des photos de vacances ou de soirée, on les postait sur son profil, on les diffusait en « public » ou on choisissait de les rendre accessibles seulement pour ses « amis » ou « amis d’amis ». Et voilà. Depuis, l’environnement Facebook – qui inclut maintenant Messenger, Instagram, Whatsapp – s’est considérablement étoffé. Les paramètres pour restreindre la visibilité de nos images ont suivi le mouvement. Sur Facebook, on peut par exemple définir des listes précises de diffusion, afin que des images ou vidéos ne soient accessibles que pour une partie définie de nos contacts. Plus de 500 millions d’usagers quotidiens Sur Instagram, un compte peut être mis en « privé », afin que les photos de nos brunchs ou de couchers de soleil ne soient visibles que par nos abonnés. Ces dernières années, on a également vu exploser les « stories », qui permettent de poster une photo ou une vidéo censée disparaître au bout de vingt-quatre heures. Un format éphémère utilisé chaque jour par plus de 500 millions de personnes, soit près d’un tiers des 1,56 milliard d’usagers de Facebook. Pourtant, la plupart de ces images postées dans un environnement Facebook ne sont, en réalité, pas en accès complètement « restreint ». Si elles le sont souvent au sein des applications Facebook, elles peuvent aussi, la plupart du temps, être affichées par n’importe qui, dans un navigateur Web, à partir du moment où la personne dispose de l’adresse (URL) associée à chaque image sur les serveurs de Facebook. C’est ce qu’a rappelé le site BuzzFeed, lundi 9 septembre, en publiant un article titré « Vos posts Instagram privés ne sont pas exactement privés ». Cet article explique qu’il est relativement simple de pouvoir afficher une photo en dehors de l’environnement Instagram où elle a été partagée, même si l’image est postée par un profil privé, ou qu’elle est diffusée dans une « story » éphémère. BuzzFeed a démontré notamment que les « stories » Instagram, qui ne sont normalement plus visibles après vingt-quatre heures, sont encore consultables plusieurs jours après leur « disparition ». Les adresses uniques de chaque image accessibles On le savait jusqu’ici pour Facebook : grâce à la fonction « copier l’adresse de l’image », accessible par un clic droit sur des navigateurs comme Chrome ou Firefox, on peut récupérer automatiquement l’adresse URL propre à chaque image, puis l’envoyer à d’autres personnes. Ces dernières pourront afficher l’image dans leur propre navigateur, de manière brute et épurée, sans les éléments habituels de l’interface Facebook (boutons réactions, commentaires, etc.). Ceci même lorsqu’elles ne sont pas « ami Facebook » avec la personne qui a posté l’image, ou qu’elles ne sont pas connectées à leur propre compte Facebook. Cette méthode fonctionne également pour des images envoyées sur Messenger, d’après nos constatations. Lire aussi Des applications de suivi des règles transmettent des données très personnelles à Facebook Pour d’autres images de l’environnement Facebook, en revanche, la fonction « copier l’adresse de l’image » est désactivée dans les navigateurs desktop. C’est le cas pour les photos postées sur des comptes Instagram privés, ou pour les « stories » partagées sur Facebook et Instagram. C’est là qu’interviennent les journalistes de BuzzFeed, qui ont pu démontrer qu’il était tout de même possible de récupérer les URL des images en question, grâce aux outils de développement inclus dans les navigateurs comme Chrome ou Firefox. Lire aussi Facebook admet avoir écouté certaines conversations d’usagers Une photo encore visible après sa « suppression » Ces outils permettent d’explorer le code source d’une page Web, ou de vérifier, pour un développeur Web, que son site fonctionne bien. Sur Chrome, les journalistes de BuzzFeed ont pu facilement, à travers les consoles de développement, récupérer l’adresse unique de l’image d’une « story » Instagram ou d’une photo, même pour les comptes qui sont en mode « privé ». Nous avons pu, également, faire de même. Pour les besoins de la science et de cet article, l’auteur de ces lignes partage ainsi avec vous une photo Instagram de son profil récupérée de la sorte, alors que ce profil est censé être « privé ». Nous avons pu également continuer à afficher une « story » Instagram d’un collègue dans un navigateur Web, ceci alors que son compte Instagram est en accès restreint, et qu’il avait supprimé la « story » de son compte. L’adresse d’hébergement de cette image sur les serveurs de Facebook a pourtant continué, pendant quarante-huit heures, d’afficher la photo en question. Au bout de soixante-douze heures, cependant, l’URL a cessé de fonctionner. La « story » Instagram de notre collègue a pu continuer à s’afficher sur notre navigateur, malgré sa suppression par ledit collègue. MICHAËL SZADKOWSKI / « LE MONDE » Pas d’abus, selon Facebook Après publication de l’article de BuzzFeed, Facebook s’est défendu en affirmant que cela ne changeait rien. Un porte-parole du réseau social a déclaré au Monde, lundi 9 septembre, que le fait de pouvoir retrouver une URL d’une image, puis de l’afficher dans n’importe quel navigateur, n’était pas foncièrement différent de la possibilité, sur tous les ordinateurs et smartphones du monde, de faire des captures d’écran des images que l’on consulte. Puis de la diffuser ensuite, sans que la personne qui la poste ne soit prévenue. « Cette fonctionnalité ne donne pas accès à un compte privé », tient également à noter Facebook, qui dit n’avoir constaté aucun abus de ses services grâce à cet accès permis aux URL des images. L’épisode, qui a été commenté par la presse spécialisée, a, cependant, au moins le mérite de rappeler certains principes, que la généralisation des images « éphémères » ou en apparence d’accès restreint a pu gommer de l’esprit de certains utilisateurs : en cas de doute sur l’utilisation qui pourrait être faite des images que vous postez ou envoyez sur Internet, il reste préférable de ne pas les envoyer. Lire aussi Facebook répare un bug dans Messenger Kids qui permet à des inconnus de parler à des enfants