Sécurité des applications mobiles pour utilisateurs : 7 réflexes essentiels

Vous avez sûrement déjà fait ce geste machinal : installer une appli parce qu'elle est en tête du store, appuyer sur « Autoriser » trois fois de suite sans lire, puis refermer l'écran. Moi aussi, pendant des années. Jusqu'au jour où une amie m'a montré son téléphone : un jeu de puzzle un peu niais qu'elle avait téléchargé pour passer le temps, et sur l'écran des autorisations, l'accès à ses contacts, à son micro et à sa position permanente. Un jeu de puzzle. Voilà pourquoi je me suis mis à regarder de beaucoup plus près ce qui se passe vraiment sur nos téléphones.

La sécurité des applications mobiles pour utilisateurs n'est pas un sujet réservé aux développeurs et aux grandes entreprises. C'est vous, c'est votre téléphone, et c'est votre quotidien. Encore faut-il savoir quoi regarder — parce que le vrai danger ne ressemble presque jamais à ce qu'on imagine.

Sécurité des applications : ce que ça couvre vraiment (et ce qu'on vous cache)

On range un peu tout dans le même tiroir. Résultat : les gens croient qu'ils parlent d'une seule chose alors qu'ils en mélangent quatre.

La sécurité d'une application, c'est d'abord le travail de celui qui la fabrique : empêcher que quelqu'un détourne le code, protège les données stockées, chiffre ce qui transite. Ce volet-là, vous n'y pouvez presque rien. Il vous échappe complètement.

Le deuxième volet, c'est le comportement de l'appli une fois installée — ce qu'elle collecte, ce qu'elle envoie, à qui. Là, vous avez votre mot à dire, mais surtout votre regard à poser. Le troisième, c'est la relation entre l'appli et votre téléphone : les permissions que vous lui accordez. Le quatrième, c'est l'appareil lui-même, avec ou sans appli.

Qu'est-ce que la sécurité des applications ?

C'est l'ensemble des technologies et des pratiques qui visent à protéger une application contre les vulnérabilités — pendant qu'on la construit, quand on la déploie, et pendant qu'elle tourne. Un éditeur sérieux protège le code contre la rétro-ingénierie, chiffre les données sensibles, limite ce qu'il collecte. Un utilisateur sérieux, lui, agit sur un seul maillon : le moment où il installe et où il autorise.

C'est ce maillon qui m'intéresse ici. Parce que c'est le seul sur lequel vous avez la main.

Côté utilisateur, vous n'êtes pas impuissant

La CNIL insiste depuis longtemps sur un principe simple : vous devez pouvoir savoir ce qu'une appli fait de vos données, et pouvoir y mettre fin. Ce n'est pas un détail administratif. C'est un levier. Une appli qui refuse de vous dire pourquoi elle veut votre position, ce n'est pas une appli discrète — c'est une appli qui a un problème avec la transparence.

Mon avis, et je le défends fermement : le devoir de vigilance des éditeurs ne vous décharge pas du vôtre. Attendre que quelqu'un d'autre règle le problème, c'est la meilleure façon de se faire avoir.

Comment faire pour sécuriser les applications (côté utilisateur)

La première fois que j'ai ouvert l'écran des autorisations d'une appli de retouche photo que j'utilisais depuis six mois, j'ai eu un choc : elle avait accès à mes contacts, à mon micro et à mon agenda. Je n'avais jamais lu ces lignes. Personne ne les lit. C'est précisément là que tout se joue.

Auditer les autorisations, étape par étape

Sur Android comme sur iOS, chaque appli expose la liste de ce qu'elle peut toucher. Prenez dix minutes. Ouvrez vos paramètres, allez dans les autorisations par catégorie — caméra, micro, position, contacts, photos — et regardez qui apparaît.

Une question à poser pour chaque ligne : cette appli a-t-elle vraiment besoin de ça pour fonctionner ? Une appli de cartes a besoin de votre position. Un jeu de coloriage, non. Un lecteur PDF qui réclame votre carnet d'adresses, c'est un signal, pas une coïncidence.

• Coupez sans état d'âme tout accès qui n'a pas de justification évidente. La plupart des applis fonctionnent parfaitement sans.
• Préférez la position « uniquement pendant l'utilisation » plutôt que « toujours ».
• Ce qui est déjà accordé n'est jamais redemandé : c'est pour ça qu'il faut repasser régulièrement.
• Révoquez l'accès au micro et à la caméra pour tout ce qui n'est pas un outil de prise de vue ou d'enregistrement.
• Videz les applis que vous n'avez pas ouvertes depuis des mois. Une appli endormie garde ses permissions.

Vérifier l'éditeur avant de télécharger

Je vais être direct : la note moyenne ne veut rien dire. Un éditeur peut gonfler ses étoiles. Ce qui compte, c'est de savoir qui est derrière.

Regardez si l'éditeur est nommé, s'il a un site, s'il a d'autres applis publiées, s'il répond aux avis. Une appli sans éditeur identifiable, aussi bien notée soit-elle, je ne l'installe pas. Il m'a fallu une expérience malheureuse pour l'appliquer sans exception : un utilitaire de nettoyage soi-disant gratuit, retiré du store deux semaines après mon installation. Ce qu'il nettoyait surtout, c'était mes données.

Mises à jour et réflexes au quotidien

Une mise à jour ne sert presque jamais à ajouter une fonction. Elle colmate une faille que des attaquants connaissent déjà. Quand un correctif traîne, la fenêtre reste ouverte.

Les autres réflexes tiennent en peu de choses :

1. Mettez à jour le système, pas seulement les applis. Les correctifs du téléphone ferment des trous qu'aucune appli ne peut boucher.
2. Refusez de vous connecter à un compte sensible sur un Wi-Fi public. Ce qui circule en clair peut être lu.
3. Ne réutilisez jamais le même mot de passe d'une appli à l'autre. Une fuite sur un service compromet tous les autres par ricochet.
4. Passez en revue vos connexions aux services tiers. Ce bouton « Continuer avec… » laisse une porte ouverte que personne ne ferme jamais.

Comment protéger son téléphone contre le piratage ?

Le piratage d'un téléphone se joue rarement dans un film. Il se joue dans un lien, un SMS, une appli qui demande trop, un mot de passe réutilisé.

Les mesures qui changent réellement les choses, dans l'ordre de rentabilité :

• Un verrouillage solide (code long, biométrie) qui rend l'appareil inutilisable en cas de perte.
• Le chiffrement du téléphone, actif par défaut sur les modèles récents — vérifiez-le, ne le supposez pas.
• L'installation d'applis uniquement depuis les stores officiels. Les APK glanés ailleurs, c'est la porte grande ouverte.
• Le double facteur sur vos comptes principaux. C'est la mesure la plus sous-estimée, et de loin.
• Une sauvegarde régulière. En cas d'attaque, c'est ce qui vous évite de tout perdre.
• Le retrait immédiat d'une appli dont le comportement vous semble bizarre : batterie qui fond, pubs qui surgissent, données mobiles qui explosent.

Le point que je veux insister, c'est le double facteur. J'ai vu deux personnes échapper de justesse à la prise de contrôle de leur compte simplement parce que ce second code existait. Sans lui, le vol de mot de passe suffit.

Peut-on désactiver la sécurité d'une application ?

La question revient souvent, et la réponse mérite qu'on s'y arrête, parce qu'elle est mal comprise.

Comment désactiver la sécurité des applications ?

On ne peut pas « désactiver » la sécurité d'une appli au sens strict — cette sécurité est dans le code, pas dans un interrupteur. Ce qu'on peut désactiver, ce sont des protections du téléphone : la vérification des applis, des restrictions d'installation, certains contrôles de sécurité du système.

Et franchement, il n'y a presque aucune bonne raison de le faire. Sauf cas très précis — un développement, un test — la seule chose qu'on gagne, c'est du confort. La seule chose qu'on perd, c'est la barrière qui vous séparait d'une appli hostile. Le calcul est vite fait.

Si une appli bloque, faut-il tout débrider ?

Non. Quand une appli vous demande de baisser vos protections pour fonctionner, la bonne réaction n'est pas de baisser vos protections. Si une appli exige la désactivation de fonctions de sécurité pour s'installer, la question à se poser est simple : pourquoi une appli légitime en aurait-elle besoin ?

La réponse, en général, ne vous plaira pas.

Réglementation et confidentialité : ce qui vous protège déjà

Vous n'êtes pas seul face à cela. Le cadre européen de protection des données impose aux éditeurs de vous informer, de recueillir un consentement réel, et de limiter ce qu'ils collectent au strict nécessaire — un principe de minimisation. Une politique de confidentialité incompréhensible n'est pas un manquement anodin : c'est un manquement au regard de vos droits.

Ce que l'éditeur doit	Ce que vous pouvez exiger en retour
Vous dire quelles données il collecte et pourquoi, en langage clair	Accéder à ces informations avant d'installer, pas après
Recueillir un consentement réel, jamais présumé	Refuser un traitement sans que l'appli devienne inutilisable pour autant
Limiter la collecte au strict nécessaire à la fonction	Contester une permission qui n'a aucun rapport avec l'usage
Sécuriser ce qui transite, notamment via les interfaces techniques	Signaler une appli au comportement douteux à l'autorité compétente

Je ne dis pas que le cadre fait tout le travail. Je dis qu'il vous donne un levier que la plupart des gens n'utilisent jamais. Le maillon humain, encore une fois.

Ce qu'il faut retenir

La sécurité de nos applis ne se joue pas dans un grand piratage spectaculaire. Elle se joue dans dix minutes de votre temps, deux fois par an, à regarder ce que vous avez autorisé sans y penser.

Les éditeurs ont leur part de responsabilité, et elle est immense. Mais il reste une zone où personne ne peut décider à votre place : le moment où vous appuyez sur « Autoriser ». Ce geste, presque toujours, se fait les yeux fermés.

La prochaine fois, ouvrez-les.