Sécurité numérique pour l'organisation d'actions directes
Quand on organise une action, on a l'occasion de fixer des règles communes en matière de sécurité numérique et d'aider à former nos camarades.
On a aussi besoin d'un niveau de sécurité plus élevé pour nous-mêmes, parce qu'on sait que les flics ciblent les organisateur·ices des mouvements.
Cette checklist va t'aider à mettre ta sécurité numérique en ordre et à préparer aussi les participant·es à l'action.
À l'origine, on a créé ce site pour que les organisateur·ices d'actions puissent envoyer la checklist Se préparer pour une manif aux participant·es, en sachant qu'elle était à la fois facile à suivre et complète.
Tu veux mettre ça en place dans ton groupe ? Organise une soirée sécurité : une séance de travail de 90 minutes où tout le monde fait ces étapes ensemble. Les gens vont beaucoup plus jusqu'au bout qu'avec un simple lien envoyé.
Menaces à prendre en compte :
- Surveillance gouvernementale des SMS, des appels, de la localisation, du réseau social (exemples : COINTELPRO dans les années 1960, Movement for Black Lives ces dernières années).
- Accusations montées de toutes pièces, harcèlement, discrédit public contre toi ou ton groupe, etc.
- Des indics du gouvernement infiltrés dans nos groupes
- Les géants de la tech qui traquent chacun de tes faits et gestes en ligne. Le gouvernement peut obtenir ces données avec un mandat ou les acheter à des entreprises d'exploration de données.
- Ton téléphone infecté par un logiciel espion via un lien malveillant ou ton code de déverrouillage craqué
Protections de base
Cette section s'adresse à toute personne qui milite ou fait du plaidoyer.
Complète notre guide Les essentiels de la sécurité
Utiliser des logiciels à jour et des mots de passe robustes, et choisir des applis qui protègent ta vie privée : ce sont des étapes de base essentielles pour protéger la sécurité des personnes avec qui tu t’organises.
Comment faire
Fais tout ce qui figure dans la checklist Les essentiels de la sécurité (y compris la section « sécurité renforcée »).
Astuce : C’est la soirée sécurité idéale pour commencer. Faites-le ensemble, en groupe.
Suis notre guide pour sécuriser ton téléphone
Quand tu organises une action, tu as beaucoup plus de risques d’être ciblé·e par la surveillance de l’État, alors c’est important de prendre plus de précautions.
Comment faire
Fais tout ce qui est dans la checklist Se préparer pour une manif (y compris la section « sécurité renforcée »)
Utilise Signal pour des messages et appels sécurisés quand tu organises une action
Si tu utilises des canaux non chiffrés, tes messages et tes appels peuvent être espionnés par des entreprises et par les flics (avec ou sans mandat).
Comment la configurer
- Installe Signal (iPhone, Android)
- Assure-toi d’avoir défini un nom d’utilisateur (ex. : @cloudy.52). Partage-le avec les personnes avec qui tu veux être en contact, plutôt que ton numéro de téléphone.
- Règle les messages éphémères par défaut sur 1 semaine pour toutes les nouvelles conversations, surtout pour les groupes que tu organises. Va dans
- Raccourcis la durée des messages éphémères à mesure que l’heure de début de l’action approche. Le jour de l’action, tu peux la régler sur 1 heure ou 5 minutes.
- Désactive les notifications de Signal (pour qu’elles ne soient pas visibles quand ton téléphone est verrouillé)
Même si tu as de très bonnes habitudes de sécurité, la personne avec qui tu échanges peut mettre tes messages en danger si elle ne fait pas attention. Encourage les autres à sécuriser Signal en suivant cette checklist, elles aussi.
Configurer Signal pour une sécurité maximale
Comment faire
Suis toutes les étapes de notre Checklist Signal pour rendre Signal plus sûr et mieux protéger ta vie privée.
Utilise Proton Docs et Mail pour ton militantisme plutôt que Google Docs et Gmail
Protège-toi et protège ta communauté contre les demandes de données du gouvernement dont tu n'es même pas au courant.
Les entreprises tech (comme Google) reçoivent souvent des demandes du gouvernement pour remettre toutes les données du compte d'un·e militant·e. Ces demandes s'accompagnent souvent d'une « ordonnance de non-divulgation », ce qui veut dire que l'entreprise ne peut pas prévenir la personne concernée avant des mois, voire des années.
Les outils cloud chiffrés comme Proton Mail, Drive, Docs et Sheets garantissent que l'entreprise ne détient aucune copie lisible de tes données à remettre. Si le gouvernement veut ces données, il doit te les demander directement : tu es ainsi prévenu·e et tu as la possibilité de contester la demande avec un soutien juridique.
Limites des e-mails chiffrés : Proton chiffre tout ce qui se trouve sur ses serveurs. Mais le chiffrement ne protège les deux bouts de la conversation que si le ou la destinataire utilise aussi un service d'e-mail chiffré. Si tu envoies un e-mail à quelqu'un sur Gmail, Google en garde une copie qu'il peut remettre aux autorités.
Pour les communications sensibles, utilise toujours Signal avec les messages éphémères activés.
Comment configurer et utiliser Proton Docs et Proton Mail
Crée un compte Proton
Suggestion : choisis un nom d'utilisateur aléatoire et un nom d'affichage aléatoire. pour avoir la possibilité de ne pas révéler que c'est toi qui utilises cette adresse e-mail.
- Inscris-toi pour obtenir un compte Proton gratuit.
- Vérification : quand on te demande de prouver que tu es humain·e, choisis l'option « CAPTCHA » plutôt que l'option « e-mail », pour ne pas relier le compte à ta véritable identité.
- Quand on te demande d'ajouter ton numéro de téléphone ou ton adresse e-mail comme méthode de récupération, choisis Plus tard.
Utilise Proton Drive/Docs/Sheets
- Crée et modifie des documents à plusieurs, un peu comme sur Google Docs. Pour qu'on puisse partager directement un document avec quelqu'un, cette personne doit avoir un compte Proton.
- Partage en toute sécurité : n'utilise le « partage par lien » que si c'est nécessaire, protège le document avec un mot de passe et donne une date d'expiration au « lien public ».
Utilise Proton Mail
- Utilise Proton Mail pour : tes comptes sur des sites web, les newsletters, les communications publiques qui nécessitent l'anonymat et le travail d'organisation non sensible.
- N'utilise aucun e-mail pour : les communications vraiment sensibles qui pourraient exposer quelqu'un à des risques juridiques.
- Ce qui est chiffré ou non : les messages entre utilisateur·ices de Proton Mail sont automatiquement chiffrés de bout en bout. Les messages envoyés à des personnes qui utilisent un autre fournisseur d'e-mail ne seront pas chiffrés, mais tu peux envoyer un e-mail protégé par mot de passe.
CryptPad est une autre option populaire pour des documents chiffrés, mais c'est très difficile à utiliser. S'il a les fonctionnalités dont tu as besoin, il permet d'obtenir le même résultat.
Utiliser Proton en toute sécurité : Proton est une grosse amélioration par rapport à Gmail/Google Docs, mais il a de vraies limites que tu dois connaître. Consulte notre guide pour utiliser Proton en toute sécurité pour savoir ce qui est chiffré, ce qui ne l'est pas, et comment éviter les pièges courants.
Utilise Tor Browser pour naviguer sur le web de façon anonyme lors de tes recherches sensibles
C’est très facile pour les agents du gouvernement et les entreprises de suivre ton activité en ligne quand tu utilises un navigateur classique.
Tor Browser chiffre ton trafic, le fait transiter par plusieurs ordinateurs et fait tout son possible pour empêcher le pistage en ligne, afin de t’aider à rester relativement anonyme sur Internet.
Comment configurer Tor Browser
- Installe Tor Browser sur ton ordinateur portable.
- Consulte ici le guide complet de navigation anonyme.
Utilise Signal pour des appels vidéo/audio de groupe sécurisés
Si tu passes un appel via une appli qui n’est pas chiffrée de bout en bout, il peut être intercepté soit par l’appli elle-même, soit par le gouvernement.
Comment utiliser Signal pour les appels de groupe
Les appels Signal (audio ou vidéo) utilisent la même technologie de chiffrement robuste que celle à laquelle on fait confiance dans la messagerie Signal.
- Si tu veux inviter des participant·es sans groupe Signal existant : (ou Rejoindre)
- Si tu es déjà dans un groupe avec les personnes que tu veux appeler : tu peux cliquer sur l’icône de caméra vidéo 🎥 en haut à droite de n’importe quel groupe Signal pour lancer un appel de groupe.
Fais attention à ce que tu dis près d’un ordinateur, même quand ton appel est chiffré : utiliser des appels chiffrés de bout en bout rend la surveillance de ta conversation beaucoup plus difficile, mais il est toujours possible que le téléphone ou l’ordinateur de quelqu’un contienne un logiciel espion qui donne à un·e attaquant·e un accès complet à tout ce qui se passe sur l’appareil. On te conseille de ne pas partager d’informations sensibles (comme le lieu d’une action surprise) sur un canal numérique, quel qu’il soit, ni à proximité d’un micro.
| Appel Signal | Zoom |
|---|---|
| *\u00a0✅ Le plus sécurisé *\u00a0✅ Jusqu’à 75 participant·es *\u00a0❌ Pas de contrôles pour l’hôte | *\u00a0🟡 Juste assez sécurisé, mais Signal reste le meilleur *\u00a0✅ Jusqu’à 100 participant·es *\u00a0✅ Contrôles pour l’hôte (couper le micro des participant·es) |
Est-ce que je peux utiliser Zoom ? (À éviter autant que possible !)
- Zoom propose bien le chiffrement de bout en bout, mais on hésite à le recommander, car la protection de la vie privée n’a pas été sa priorité dès sa conception. C’est difficile de faire entièrement confiance à un logiciel qui vient d’une grosse entreprise comme la leur.
- Si tu utilises quand même Zoom, pense à activer le chiffrement de bout en bout et propose à tout le monde de se déconnecter de son compte Zoom habituel avant de rejoindre la réunion (pour être moins traçable). On te conseille d’être plus prudent·e sur ce que tu dis sur Zoom.
Est-ce que je peux utiliser Jitsi Meet ? (On ne le recommande pas !)
- Jitsi Meet a souvent été choisi par les militant·es parce qu’il ne nécessite pas de compte. (C’était peut-être un bon choix avant que Signal ajoute les appels audio et vidéo de groupe.)
- Pourquoi on recommande d’éviter Jitsi Meet : il n’est pas chiffré de bout en bout par défaut, donc c’est plus facile d’oublier de l’activer (ce qui rend ta conversation vulnérable face à un·e attaquant·e). D’après ce qu’on sait, leur option de chiffrement de bout en bout a été mise en place rapidement, et on n’est pas sûr·es qu’elle soit rigoureuse ni qu’elle soit toujours activement développée. Pour ces raisons, on te conseille de l’éviter.
Établir des accords de sécurité numérique avec les participant·es/membres
En tant qu'organisateur·ice, tu peux aider le groupe à adopter de bonnes pratiques de sécurité numérique
Comment établir des accords de sécurité numérique
-
Sécurité des téléphones : Mettez-vous d'accord sur qui apporte son téléphone et sur le niveau de sécurité nécessaire selon les risques de cette action.
On te suggère d'envoyer à tes participant·es un lien vers notre checklist pour les manifs : Les téléphones en manif.
Et si tu sais que certaines personnes risquent davantage de se faire arrêter, tu peux leur suggérer de laisser leur téléphone à la maison, d'apporter un téléphone secondaire, ou au moins de suivre aussi la section « sécurité renforcée » de ce guide.
-
Confidentialité des photos : Mettez-vous d'accord sur la façon dont les photos sont partagées (ou pas) et sur le niveau de prudence à avoir concernant les visages qui y apparaissent.
-
Sécurité générale : Pour toutes les personnes qui s'organisent régulièrement avec toi, on leur suggère de suivre aussi la checklist des bases pour aider à protéger tout le monde autour d'elles : Checklist des bases de la sécurité
Astuce : Une fête de la sécurité est l'occasion idéale pour conclure ces accords, puisque tout le monde est déjà réuni.
Retire tous les membres des groupes Signal inutilisés ou non vérifiés après une action
Les groupes inactifs sont une mine d'or pour les flics qui veulent récolter des infos sur nos activités et nos projets.
Si tu as des groupes Signal non vérifiés, mieux vaut partir du principe qu'il peut y avoir des indics dans le groupe. Ces groupes peuvent être importants pour mobiliser nos camarades pour une action, mais ils donnent aussi des infos sur nos activités et nos projets à toutes les personnes du groupe.
Important : Supprimer la conversation ne suffit pas. Ça la supprime seulement de ton appareil, mais la conversation continue d'exister.
Comment retirer des membres
- Va dans la conversation du groupe (tu dois être admin)
- Écris un message au groupe pour expliquer pourquoi tu le fermes. (C'est une bonne occasion de sensibiliser les membres aux bonnes pratiques de sécurité sur Signal.)
- Clique sur l'avatar du groupe pour ouvrir les paramètres du groupe.
- Fais défiler jusqu'à la liste des membres
- . (Malheureusement, il faut le faire à la main pour chaque membre !)
- Une fois que c'est fait, supprime la conversation
Si tu dois envoyer des photos/vidéos de l'action, utilise Signal (pas l'e-mail)
Protections renforcées
Cette section est pour toi si tu occupes un rôle de leader ou si ton militantisme a plus de chances d'être ciblé par l'État ou par tes adversaires.
Réduis ton empreinte en ligne pour te protéger du doxing
Les organisateur·ices d'actions et les leaders de mouvements risquent davantage d'être ciblé·es par des attaques de doxing. Ces dernières années, la droite américaine est devenue plus douée pour le doxing.
Le doxing, c'est la publication malveillante des informations privées de quelqu'un, comme son adresse, son lieu de travail ou ses coordonnées, généralement pour faciliter le harcèlement ou l'intimidation.
Comment te protéger contre les attaques de doxing
Effacer tes informations privées d'Internet, c'est un projet de longue haleine que tu voudras sans doute mener petit à petit. Tu peux faire certaines des étapes les plus importantes et évidentes rapidement, dès maintenant
- Verrouille les paramètres de confidentialité de chacun de tes comptes sur les réseaux sociaux pour que seul·es tes ami·es puissent voir ton contenu. Facebook, Twitter et Instagram sont de bons points de départ. C'est particulièrement important de verrouiller LinkedIn, parce qu'on y trouve ton lieu de travail actuel et ta localisation.
- Fais retirer tes données chez les courtiers en données qui compilent et vendent tes informations personnelles. Tu peux utiliser un service payant comme Delete Me. Ou le faire toi-même, ce qui prendra beaucoup plus de temps (voir la page 25 de ce guide). Tu trouveras ici une méga-liste de désinscription des courtiers en données
- Pense à utiliser une boîte postale plutôt que ton adresse personnelle pour la livraison de colis, l'inscription à des comptes ou les paiements. Si tu déménages bientôt, c'est le moment idéal pour faire le changement, comme ça ta nouvelle adresse ne se retrouvera jamais en ligne.
- Ce n'est qu'un tout premier pas ! Pour un guide très détaillé, on te recommande le guide anti-doxing d'Equality Labs (la page 25 est un bon point de départ).
Utilise VeraCrypt pour créer des dossiers sécurisés sur ton ordinateur
Important si tu as des fichiers très sensibles
Comment utiliser VeraCrypt
- Installe VeraCrypt
- Suis leur guide pour débutant·es pour créer un conteneur chiffré et y déplacer tes fichiers sensibles
Évite d’utiliser l’appli Signal sur ordinateur
Pour plus de sécurité, n’utilise pas l’appli Signal sur ordinateur : elle offre à un attaquant un moyen supplémentaire d’accéder à tous tes messages s’il pirate ton ordinateur portable.
Continue d'apprendre avec ces guides
Des questions ?
Dis-nous si tu as des questions ou des retours, pour qu'on rende ces guides aussi utiles que possible.