Web réputation : estimation du niveau de confiance accordable à l'objet Web pointé (sites, URL, script, application, etc.). Analyses robotisées ou humaines.

cr  18.06.2013      r+  25.07.2022      r-  01.07.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Ce dossier met à votre disposition de nombreux services vous donnant diverses « Web réputation » de sites Web. Vous pouvez les consulter à l'envie pour avoir divers jugements sur tel ou tel site Web ainsi que sur tel ou tel personnes morales (sociétés).

La « Web réputation » concerne la réputation des sites Web et des personnes morales (sociétés) actives dans le monde numérique (dont les sites marchands, les banques, les compagnies d'assurances, etc.). Pour la réputation des personnes physiques sur le Web (sur l'Internet), cela s'appelle la « e-réputation ».

Il est nécessaire, lorsque l'on se rend sur un site Web, ou que l'on veut acheter quelque chose sur un site Web marchand, ou que le site demande que l'on saisisse des données personnelles (s'identifier pour ouvrir un compte, compte bancaire, carte de paiement, mot de passe, identification et adresse, etc.), de :

• Consulter les mesures techniques mises en œuvre par le site Web visité ou la page Web visitée (analyses objectives) :

  • Utilisation d'un certificat SSL.

  • Utilisation d'un certificat électronique d'authentification.

  Consulter le niveau de confiance numérique du site (analyses objectives) :

  • Qu'en disent les analyses antivirus

  • Qu'en disent les analyseurs de contenus

  Est-ce que le site ou l'URL figure dans des listes noires (analyses objectives) :

  • Signalé dans des listes noires de phishing ou SMiShing.

  • Signalé dans des listes noires de spammeurs.

  • Signalé dans des listes noires de sites à activités spéciales (SEO, fermes de liens, fermes de contenus, liens réciproques, etc.).

  • Signalé dans des listes noires de sites frauduleux (fraudes 419 - Escroquerie astucieuse), escroqueries, arnaques et autres fraudes, etc.).

• Consulter les avis et mesures d'honnêteté et comportements de la société commerciale derrière ce site Web. (analyses subjectives) :

  • Respect des délais de livraison.

  • Contrefaçons.

  • Service après vente.

  • Date de création. Un site/une société de moins de 3 ans ne permet pas d'avoir une visibilité sur son comportement - elle doit exister depuis plusieurs années. Ne jamais rien acheter lorsque le site/la société vient de se créer. Les sociétés fantômes sont légion, qui ne durent que quelques jours ou quelques heures, après une campagne publicitaire violente par spams ou insertions dans les blogs/forums/sites, etc. Elles ramassent l'argent et disparaissent aussitôt.

  • Pays de la société et pays du serveur : à quelles législations va-t-on être confronté en cas de litige et aurons-nous une possibilité de contestation/plainte ?

  • Existence de plaintes.

  • Etc.

On peut tromper les outils de Web réputation, par fausses dénonciations et commentaires (crowdsourcing - avis participatifs) ou par injections de malveillances, afin de faire perdre toute crédibilité à, par exemple, un concurrent. Le service prétendu de Web sécurité WOT - l'imbécillité élevée au rang d'un art s'est fait durant des années une caisse de résonnance et un amplificateur de fausses rumeurs.

La « Web réputation » utilise cinq sources d’informations pour jauger/juger les sites Web :

1. L’analyse technique et sécuritaire du site Web. Des robots cherchent des risques (virus, phishing, etc.) dans chaque site Web, en lisant toutes les pages et en téléchargeant et analysant tous les fichiers. Ils donnent un jugement objectif, robotisé.

2. L'analyse du comportement de la société derrière le site Web. Des humains signalent des risques (sincérité des livraisons, respect des délais, service après-vente, contrefaçons, sécurité des paiements, contenus haineux, dérives sectaires ou terroristes, contenus propagandistes, fake news [fausses nouvelles, informations fallacieuses, infox], contenus vivement déconseillés aux enfants et toutes choses qu’aucun robot ne peut analyser). C’est le crowdsourcing (avis participatifs). Toutefois, celui-ci comporte des risques de jugements subjectifs ou de jugements purement trompeurs (par exemple : avis menteurs servant à la promotion/publicité du site ou, au contraire, avis menteurs servant à la médisance [concurrence, etc.]). Les avis donnés, par exemple, sur les commerçants présents sur la Google Map, sont quasi entièrement des avis truqués.

3. Un troisième comportement des services de « Web réputation » est celui d'« agrégateurs » (le « service » est un « métaservice » qui répertorie les évaluations de plusieurs autres services). Typiquement, ces « métaservices » font la liste ou la synthèse de plusieurs résultats des deux précédents. Très pratique pour une vision globale et rapide de la réputation d'un site.

4. Une quatrième source de « Web réputation » est celle des listes noires (blacklists). Ces listes conduisent au blocage de site Web, pour une raison ou pour une autre (voir une proposition de liste de catégories de sites bloqués et cas d'usage). La « Web réputation » par « agrégation » est pratique pour avoir une vue d’ensemble rapide de la présence ou absence d'un nom de domaine ou d'une URL dans des dizaines de listes noires de malveillants et des dizaines de listes noires de spammeurs.
   
   Attention à l'inflation du nombre de listes noires prétendues consultées (dans la bataille des ego, chaque service de « Web réputation » cherche à prétendre en consulter plus que ses concurrents). De nombreuses listes noires traînent sur le Web alors qu'elles n'existent plus ou ne sont plus mises à jour depuis des années (elles servent juste de matelas de revenus publicitaires à leurs anciens auteurs).
   

5. Une cinquième très bonne source d’informations sur l’innocuité ou le risque que fait courir la visite d’un domaine est l’analyse que font les prestataires de services en protection des hébergements auprès des webmasters. Ces analyses disent aux webmasters quels sont les compromissions, les failles, les risques de leurs sites. Il en résulte un avis ou une note très précieuse des sites Web. Ce sont des prestations professionnelles et commerciales (payantes), mais les internautes peuvent demander, gratuitement et en ligne, une analyse basique (qui va astucieusement permettre aux prestataires en sécurisation des sites Web d’identifier des sites à problèmes auxquels ils vont pouvoir faire des offres de services). Ces offres portent, par exemple, sur la recherche de failles de sécurités dans les technologies employées, dont les correctifs ont été publiés, mais dont l'hébergement du site ne les a pas appliqués :
   
   Liste des correctifs ou contournements aux failles de sécurité, au jour le jour.
   
   Ces prestataires de services cherchent également les compromissions implantées dans l'hébergement du site (hack du site - exemples de hacks). Ces compromissions servent à compromettre les appareils des visiteurs (visiteurs ciblés ou non).

Le Web est un lieu trompeur et menteur que l'on cherche à nettoyer ou dont on cherche à se prémunir, dont avec les outils de « Web réputation ». On notera que le nombre de ces outils et services gratuits diminue régulièrement, faute de revenus, alors qu'il s'agit d'une part de travail humain à temps plein (il n'y a pas que les robots d'analyses).

Attention : on ne parle pas du tout des sites de commentaires à la :

• Services de commentaires produits (Introduction)

• Services d'interaction/communication (Introduction)

Voir la liste des outils et services gratuits de Web réputation.

Si le site Web pour lequel vous cherchez s'il est de confiance est un site marchand et que vous envisagez d'y acheter quelque chose, il y a une plateforme interbancaire qui s'interpose entre votre banque et la banque du vendeur en ligne.

Les transactions entre deux banques (en l'occurrence, la vôtre et celle du vendeur) ne peuvent absolument pas s'exécuter directement. Seuls des intermédiaires agréés par une banque centrale (la Banque de France en France) peuvent le faire. Ces plateformes interbancaires s'interposent donc entre l'acheteur et le vendeur.

Vous pouvez et devez identifier cet organisme interbancaire lorsqu'il s'interpose, car il va demander / vérifier auprès de votre banque si votre compte existe bien et si vous avez les moyens de payer le vendeur.

Pour bien faire, il faut vérifier si cette plateforme interbancaire est bien agréée par l'ACPR (Autorité de Contrôle Prudentiel et de Résolution). Cela se vérifie dans la base de données de l'Orias.

• Orias

  Organisme pour le registre unique des intermédiaires en assurance, banque et finance.

  L'Orias est une association privée à but non lucratif, bénéficiant d'une délégation de service public. Elle est administrée par les représentants des secteurs assurantiels, bancaires et financiers sous la tutelle de la Direction Générale du Trésor. L'Orias tient le registre unique des intermédiaires.

• ACPR

  Certains professionnels, notamment les établissements de crédit, les sociétés de financement, les établissements de paiement ou établissements de monnaie électronique, ainsi que les organismes d'assurance doivent être agréés par l'ACPR.

  Adossée à la Banque de France, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) est chargée de l'agrément et de la surveillance des établissements bancaires, d'assurance et de leurs intermédiaires, dans l'intérêt de leurs clientèles et de la préservation de la stabilité du système financier.

Réaliser une activité de banque ou d'assurance sans être agréé est illégal. À noter qu'un professionnel peut être agréé ou immatriculé dans un autre État membre de l'Union européenne et avoir une activité en France dans le cadre de la Liberté d'Établissement (LE) ou de la Libre Prestation de Service (LPS).

Relevez bien le nom du professionnel, puis :

• Consultez le registre des agents financiers (REGAFI) tenu par l'ACPR.

• Consultez le registre des organismes d'assurance agréés tenu par l'ACPR.

Quant aux intermédiaires en opérations de banque et services de paiement (dont les plateformes de paiement en ligne), aux intermédiaires en assurance et aux intermédiaires en financement participatif, ils doivent être immatriculés auprès de l'Orias, un organisme indépendant de l'ACPR, qui tient le registre unique des intermédiaires.

Là encore, un intermédiaire peut être immatriculé dans un autre État membre de l'Union européenne et avoir une activité en France en Liberté d'Établissement (LE) ou en Libre Prestation de Service (LPS). Vous trouverez son numéro à 8 chiffres attribué par l'Orias sur l'ensemble des documents de l'intermédiaire ainsi que sur son site Web (dont dans toutes ses clauses et mentions légales). En cas d'absence ou de divergence entre son nom du domaine (son URL) et son nom affiché, soyez méfiant (une société peut avoir un nom du domaine différent de sa « raison sociale » si le nom de domaine était déjà pris ou sa « raison sociale » trop longue, etc.).

• Interrogez la base de données de l'Orias (sur le site de l'Orias)

La plateforme de paiement en ligne fait intervenir la banque du vendeur, la banque de l'acheteur et le réseau du moyen de paiement utilisé :

1. Réseau Carte Bleue
2. Réseau Visa
3. Réseau MasterCard
4. Réseau American Express
5. Réseau Paylib
6. Réseau Cofinoga
7. Réseau Diners Club
8. Réseau PayPal
9. Réseaux des chèques vacances et similaires
10. Paiements par virements bancaires
11. Paiements par mandats
12. Etc.

L'l'Orias a en charge, entre autres, la demande, auprès de l'acheteur, de la double authentification.

La plateforme de paiement en ligne prend sa commission au passage payée par le vendeur en ligne.

Voir l'article complet sur l'Orias